Tailscale-ın Tailworm düzəlişləri, Mac git və eMudhra sertifikatları, Discord-un veb axtarış dəyişikliyi və müəlliflərin Anthropic-ə qarşı iddiaları: bir Daily Diff-də dörd tərtibatçı hekayəsi

Bu videoda nələr əhatə olunur

• Tailscale (blog yazısı, 28 oktyabr 2026) bildirir ki, o, Cyberdione Labs-dan tədqiqatçı Erica Windisch tərəfindən dərc edilmiş Tailworm hesabatını 24 oktyabr şənbə səhəri almışdır və tədqiqatçı onu iki saat sonra dərc etmişdir. Test edilmiş versiyalar Tailscale 1.104.2 və headscale 0.29.5 idi. Tailscale-ın düzəlişləri 1.104.4 versiyasındadır, dörd təhlükəsizlik bülleteni TS-2026-014-dən TS-2026-017-yə qədər nömrələnmişdir.
• Tailscale-ın SSH Unix yuva yönləndirilməsi haqqında bülletenində deyilir ki, root imtiyazlı tailscaled prosesindəki SSH serveri yuva yollarını leksik olaraq yoxlayırdı, lakin əməliyyatları root kimi yerinə yetirirdi, bu da yerli yönləndirmə vasitəsilə imtiyazlı zənglərə, uzaqdan yönləndirmə vasitəsilə root sahibliyi olan yuvaların silinməsinə və nüvənin yoxlamadan sonra yolu yenidən həll etdiyi bir yarışa icazə verirdi. Çata bilən hədəflər arasında Docker yuvası və tailscaled yerli API var idi. Tailscale indi yuvaları autentifikasiya edilmiş istifadəçi kimi yönləndirir. Yenilənənə qədər, sənədləşdirilmiş TS_SSH_DISABLE_FORWARDING ətraf mühit dəyişənini 1 olaraq təyin etmək, Tailscale SSH-i deaktiv etmədən yönləndirməni deaktiv edir.
• Tailscale bildirir ki, istismar üçün tailnet-də icazə verilmiş bir cihazda mövcud dayaq nöqtəsi, SSH girişi və siyasət tərəfindən icazə verilən yönləndirmə tələb olunur və yolun siyasətin icazə verdiyi əlaqələrlə məhdudlaşdırılmış lateral hərəkət olduğunu və özünü təkrarlayan qurd olmadığını təsvir etmir. Tədqiqatçının səhifəsi qüsurların az səylə tapıldığını bildirir.
• Dennis Jackson tərəfindən icma iştirakçıları ilə birlikdə idarə olunan bir tədqiqatçı saytı bildirir ki, Apple-a eMudhra aralıq sertifikat hadisəsi haqqında 17 oktyabrda məlumat verilmişdir və 28 oktyabr tarixinə qədər macOS ilə birlikdə gələn git, curl və python3 hələ də güzəştə gedilmiş sertifikatları qəbul edir; o, həmçinin bildirir ki, 26 oktyabrda buraxılmış macOS 27.2 problemi həll etməmiş və əl ilə edilmiş düzəlişləri ləğv etmişdir. Apple-ın dəstək səhifəsi bölünməni təsdiqləyir: 19 oktyabr tarixindən etibarən Safari, Mail və Apple-ın çərçivələrindəki tətbiqlər sertifikatları bloklayır, lakin curl, git, python3, ruby, perl və openssl kimi /etc/ssl/cert.pem faylını yoxlayan alətlər gələcək bir yenilənməyə qədər onları qəbul edə bilər. Apple-ın səhifəsi isteğe bağlı əl addımlarını verir və bir yenilənmənin faylı əvəz edə biləcəyi barədə xəbərdarlıq edir.
• Discord-un blog yazısı (27 oktyabr 2026) bildirir ki, ən azı 1000 üzvə ehtiyacı olan və sayı 63.000-dən çox olan bütün Discoverable Server-lər 16 noyabr 2026-cı il tarixindən etibarən ictimai Server Veb Səhifəsinə sahib olacaq və avtomatlaşdırılmış Kanal Xülasələri həmin gün başlaya bilər. Dekabr 2026-cı ilin ortalarından etibarən, administrator tərəfindən icazə verilən ictimai kanallardan gələn mesajlar istifadəçi adları və ya avatarlar olmadan Server Veb Səhifələrində və veb axtarışda görünə bilər. Əgər administratorlar heç nəyi dəyişdirməsələr, ictimai kanallar aktiv qalacaq. Administrator nəzarətləri (Server Parametrləri, Veb Mövcudluq) və üzv dəyişdirmə (İstifadəçi Parametrləri, Məlumat və Məxfilik) artıq mövcuddur; üzv ayarı AB, Böyük Britaniya, Kanada, Braziliya, Avstraliya və Cənubi Koreyada standart olaraq qapalıdır və yeniyetmə hesabları istisna edilir.
• Stanford Daily (27 oktyabr 2026) bildirir ki, Tobias Wolff daxil olmaqla professorlar, təxminən 500.000 qeydə alınmış əsəri əhatə edən və əsər başına təxminən 3.000 dollar olan 1.5 milyard dollarlıq Bartz v. Anthropic qərarından imtina etmiş və Anthropic-i ayrıca məhkəməyə vermiş, münsiflər məhkəməsi tərəfindən baxılmasını, hər əsər üçün 150.000 dollara qədər qanuni zərərin ödənilməsini və kitabları üzərində təlim keçməsinə qadağa qoyulmasını tələb edirlər. Məqalə Hakim William Alsup-un əvvəlki qərarını, qanuni yolla əldə edilmiş kitablar üzərində təlim keçməyin ədalətli istifadə olduğunu və pirat nüsxələrdən daimi kitabxana qurmağın ədalətli istifadə olmadığını tapdığını ümumiləşdirir. Yeni iddialar iddialardır; onların iddiaları ilə bağlı heç bir qərar tapılmamışdır.

Tərcümə olunmuş transkript

Orijinal ingilis dilindəki nəqldən tərcümə edilmişdir. Mövcud audio və subtitrlər YouTube tərəfindən idarə olunur.

Giriş: bir Tailscale SSH seansı və yalnız root üçün nəzərdə tutulmuş yuvalar

0:00 Bir Tailscale SSH girişi sizi öz istifadəçi hesabınızın içində saxlayır. Şənbə günü dərc olunan bir hesabatda yalnız root üçün nəzərdə tutulmuş yuvalara çatan sessiyalar təsvir edilir toxunmalı idi və Tailscale bu həftə düzəlişləri göndərdi. Bu videoda dörd hekayə var. Bir Tailscale SSH seansı nəyə çata bilərdi? Mac-də git niyə hələ də ləğv edilmiş sertifikatlara etibar edir? 16 noyabrda ictimai Discord serverləri üçün nə dəyişir? Və müəlliflər Anthropic-ə qarşı iddialarında nə iddia edirlər?

0:27 Tailscale-ın bu hesabatın adına qarşı çıxmasının da bir səbəbi var. Bunu sona saxlayacağam. Bu çərşənbə, 28 oktyabr, və bu The Daily Diff-dir. Tailscale maşınlarınızı bir şəxsi şəbəkəyə birləşdirir, və Tailscale SSH onun daxili SSH serveridir, bu, açar faylı əvəzinə sizin Tailscale şəxsiyyətinizi yoxlayır. O, root imtiyazlarına malik bir prosesin içində işləyir. Açar ustası olan bir qapıçını düşünün.

Birinci hekayə: bir Tailscale SSH seansı nəyə çata bilərdi

0:50 Birinci hekayə. Təhlükəsizlik tədqiqatçısı Erica Windisch üç gün ərzində Tailscale 1.104.2-ni sınaqdan keçirdi və Tailworm adlı bir hesabat dərc etdi. Tailscale bildirir ki, hesabat onlara şənbə səhəri çatmışdır, və tədqiqatçı iki saat sonra dərc etmişdir. Əsas tapıntı yuva yönləndirilməsidir. Tailscale-ın öz bülleteni deyir ki, onun SSH serveri root kimi işləyir, yuva yollarını mətnlərinə görə yoxlayır, sonra işi root kimi görürdü. Bu, üç yol verdi: yalnız root üçün nəzərdə tutulmuş bir yuvaya bağlantı,

1:16 root sahibliyi olan bir yuvanı silən uzaqdan yönləndirmə və nüvənin yoxlamadan sonra yolu yenidən həll etdiyi bir yarış. Tailscale bildirir ki, hücumçuya dayaq nöqtəsi lazımdır artıq tailnet-də olan bir cihazda, SSH və yönləndirmə hər ikisi siyasət tərəfindən icazə verildikdə. Düzəliş 1.104.4 versiyasındadır və yönləndirmə indi daxil olmuş istifadəçi kimi işləyir. Bu gün yeniləyə bilmirsinizsə, bülleten yönləndirməni söndürən bir xidmət ayarını sənədləşdirir.

1:42 İkinci hekayə.

İkinci hekayə: Mac-də git niyə hələ də eMudhra-ya etibar edir

1:44 Keçən çərşənbə günü eMudhra sertifikat açarlarını əhatə etdim, və dedim ki, quraşdırılmış müştərinin etibarlılığı hələ də yoxlanılmalı idi. Apple-a bildirildikdən bir həftədən çox sonra, Dennis Jackson tərəfindən idarə olunan bir tədqiqatçı saytı deyir ki, Mac-də git, curl və python hələ də bu aralıq sertifikatlardan sertifikatları qəbul edir. Apple-ın öz dəstək səhifəsi bölünməni təsvir edir. Safari, Mail və tətbiqlər Apple-ın şəbəkə çərçivələrində sertifikatları bloklayır, və 19 oktyabr tarixindən etibarən belədir.

2:08 Lakin curl, git və python kimi komanda sətri alətləri sistem qovluğundakı bir sertifikat faylını oxuyur və gələcək bir yenilənməyə qədər Apple-ın blokunu keçirlər. Tədqiqatçı saytı əlavə edir ki, bazar ertəsi buraxılmış macOS 27.2, bunu düzəltmədi və əl ilə edilmiş düzəlişi ləğv etdi. Apple-ın səhifəsi bir yenilənmənin bu faylı əvəz edə biləcəyini deyir, və düzəliş üçün heç bir tarix tapmadım. Tailscale-ın bu açarlar haqqında bülleteni, 21 oktyabr tarixli, bildirir ki, onun müştərisi sistem mağazasının etibar etdiyi hər hansı birinə etibar edir.

2:38 Əgər Mac-də qurursunuzsa və ya işlədirsinizsə Mac CI işçiləri, tədqiqatçıların yoxlamasını öz git-inizə qarşı işə salın, sonra Apple-ın addımlarını izləyin, bu, bu fayldan iki kök sertifikatını silir. Apple xəbərdarlıq edir ki, bu, bəzi saytları poza bilər və bir yenilənmə bunu ləğv edə bilər, ona görə hər yenilənmədən sonra yenidən yoxlayın. Üçüncü hekayə. Çərşənbə axşamı Discord elan etdi ki, Discoverable

Üçüncü hekayə: Discord ictimai serverləri veb axtarışa köçürür

2:54 Server-lərdəki müzakirələr veb axtarışda daha asan tapılacaq. Bunlar ən ictimai serverlərdir, ən azı min üzvü var, və Discord onların altmış üç mindən çoxunu sayır. Budur tarixlər. Administrator və üzv nəzarətləri çərşənbə axşamı yayılmağa başladı. 16 noyabrda hər bir Discoverable Server ictimai veb səhifə əldə edir, və avtomatlaşdırılmış kanal xülasələri onda görünməyə başlaya bilər. Dekabr ayının ortalarından etibarən, ictimai kanallardan gələn mesajlar veb axtarışda da görünə bilər,

3:18 istifadəçi adları və ya avatarlar olmadan, əgər serverin administratorları icazə verərsə. Standart dəyərlər vacibdir. Əgər administrator heç nəyi dəyişdirməzsə, ictimai kanallar aktiv qalır. Üzvlər Məlumat və Məxfilik parametrlərində bir keçid əldə edirlər. Əksər yerlərdə aktiv, altı yerdə isə standart olaraq qapalıdır, Avropa İttifaqı və Birləşmiş Krallıq daxil olmaqla. Yeniyetmə hesabları istisna edilir və dekabr ayının ortalarına qədər olan mesajlar nəzərə alınmır. İki detala diqqət yetirin.

3:48 Üzv keçidi mesajları əhatə edir, kanal xülasələri isə ayrıca yaradılır və administrator onları söndürməyincə aktiv qalır. Və keçid aktiv olduğu halda göndərilən bir mesaj, siz onu silməyincə aktiv qalır. Əgər bir icma idarə edirsinizsə, 16 noyabr tarixindən əvvəl server parametrlərində Veb Mövcudluq-u açın. Dördüncü hekayə və mən sənədləşdirilmiş şeylərə sadiq qalacağam. 26 oktyabrda Anthropic sənədlərini əhatə etdim,

Dördüncü hekayə: müəlliflər, Claude və ikinci bir məhkəmə iddiası

4:08 hansı ki, müəlliflərlə 1.5 milyard dollarlıq bir qərarı sadalayır. Stanford Daily xəbər verir ki, Tobias Wolff daxil olmaqla professorlar bu qərardan imtina etmiş və ayrıca məhkəməyə verirlər. Daily-yə görə, qərar təxminən beş yüz min əsər üzrə, əsər başına təxminən üç min dollar təşkil edir. İmtina iddiası münsiflər məhkəməsindən hər əsər üçün yüz əlli min dollara qədər, əlli dəfə çox, qanuni zərərin ödənilməsini və iddiaçıların kitabları üzərində təlim keçməsinə qarşı qadağa qoyulmasını tələb edir. Altındakı qərar başlıqdan daha dardır. Hakim Alsup, qanuni yolla əldə edilmiş kitablar üzərində təlim keçməyin ədalətli istifadə olduğunu tapdı,

4:37 və pirat nüsxələrdən daimi kitabxana qurmağın belə olmadığını tapdı. Yeni iddialar pirat nüsxələri iddia edir və mən onların iddiaları ilə bağlı heç bir qərar tapmadım. Sentyabr ayında OpenAI LibGen faylları başqa bir laboratoriya haqqında eyni sualı qaldırdı. Təlim məlumatlarını yığırsınızsa, hər faylın haradan gəldiyi barədə qeyd aparın. Qərar qanuni yolla əldə edilmiş kitabları pirat nüsxələrdən ayırdı, beləliklə, nüsxələrin mənbəyi sizə veriləcək sualdır. Adına qayıdaq. Tailscale bildirir ki, hesabatda heç bir şey öz-özünə yayılmır.

5:07 O, yolu lateral hərəkət adlandırır, tailnet siyasətinin artıq icazə verdiyi əlaqələrlə məhdudlaşdırılır, və yalnız hücumçunun artıq əlində olan bir cihazdan. Tədqiqatçının səhifəsi qüsurların az səylə tapıldığını cavablandırır. Hər ikisi doğru ola bilər və düzəliş hər halda buraxılıb. Əgər bunu məndən eşitməkdənsə oxumağa üstünlük verirsinizsə, diff hər səhər pulsuz olaraq daxil qutunuza düşür, thedailydiff.dev ünvanında, link aşağıda. Beləliklə, bugünkü qərar NƏZƏRDƏN KEÇİRMƏLİDİR. Mən bunu nəzərdən keçirərdim, çünki Tailscale-ın düzəlişi buraxılıb, lakin serverləriniz hələ yenilənməyib, Apple-ın komanda sətri boşluğu hələ də açıqdır, Discord-un standart ayarları 16 noyabrda aktivləşir,

5:31 və müəlliflərin iddiaları hələ də iddialardır. Və bugünkü diff budur.

Qərar: NƏZƏRDƏN KEÇİRMƏLİDİR

5:37 Mən Axrisi-dən Niko. Məsuliyyətlə birləşdirin. Merge responsibly. Merge responsibly. Merge responsibly. Merge responsibly.

Mənbələr

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily