Выпраўленні Tailworm ад Tailscale, Mac git і сертыфікаты eMudhra, змена вэб-пошуку Discord і пазовы аўтараў супраць Anthropic: чатыры гісторыі распрацоўшчыкаў у адным The Daily Diff

Што ахоплівае гэта відэа

• Tailscale (запіс у блогу, 28 кастрычніка 2026 г.) паведамляе, што атрымаў справаздачу Tailworm, апублікаваную даследчыкам Эрыкай Віндзіш з Cyberdione Labs, раніцай у суботу, 24 кастрычніка, і што даследчык апублікаваў яе праз дзве гадзіны. Тэставаныя версіі былі Tailscale 1.104.2 і headscale 0.29.5. Выпраўленні Tailscale знаходзяцца ў версіі 1.104.4, з чатырма бюлетэнямі бяспекі пад нумарамі TS-2026-014 да TS-2026-017.
• Бюлетэнь Tailscale аб перасылцы сокетаў Unix SSH кажа, што сервер SSH у працэсе tailscaled з правамі root правяраў шляхі сокетаў лексічна, але выконваў аперацыі як root, што дазваляла прывілеяваныя наборы праз лакальную перасылку, выдаленне сокетаў, якія належаць root, праз аддаленую перасылку, і гонку, дзе ядро паўторна вырашае шлях пасля праверкі. Даступныя мэты ўключалі сокет Docker і лакальны API tailscaled. Цяпер Tailscale перасылае сокеты як аўтэнтыфікаваны карыстальнік. Да абнаўлення, усталяванне дакументаванай зменнай асяроддзя TS_SSH_DISABLE_FORWARDING у 1 адключае перасылку без адключэння Tailscale SSH.
• Tailscale кажа, што для эксплуатацыі патрабуецца існуючая кропка апоры на аўтарызаванай прыладзе ў tailnet, з дазволеным доступам SSH і перасылкай па палітыцы, і што шлях - гэта бакавы рух, абмежаваны злучэннямі, дазволенымі палітыкай, і не апісвае саматыражнага чарвяка. Старонка даследчыка кажа, што недахопы былі знойдзены з невялікімі намаганнямі.
• Сайт даследчыка, які кіруецца Дэнісам Джэксанам з удзелам супольнасці, паведамляе, што Apple была апавешчана пра інцыдэнт з прамежкавым сертыфікатам eMudhra 17 кастрычніка і што, станам на 28 кастрычніка, git, curl і python3, якія пастаўляюцца з macOS, усё яшчэ прымаюць скампраметаваныя сертыфікаты; ён таксама кажа, што macOS 27.2, выпушчаная 26 кастрычніка, не выправіла праблему і адмяніла ручныя абыходныя шляхі. Старонка падтрымкі Apple пацвярджае падзел: з 19 кастрычніка Safari, Mail і праграмы на аснове фрэймворкаў Apple блакуюць сертыфікаты, у той час як інструменты, такія як curl, git, python3, ruby, perl і openssl, якія правяраюць /etc/ssl/cert.pem, могуць усё яшчэ прымаць іх да будучага абнаўлення. Старонка Apple дае дадатковыя ручныя крокі і папярэджвае, што абнаўленне можа замяніць файл.
• Запіс у блогу Discord (27 кастрычніка 2026 г.) паведамляе, што ўсе Discoverable Servers, якія патрабуюць не менш за 1000 удзельнікаў і налічваюць больш за 63 000, будуць мець публічную вэб-старонку сервера з 16 лістапада 2026 г., прычым аўтаматызаваныя зводкі каналаў змогуць пачаць працу ў той жа дзень. З сярэдзіны снежня 2026 г. паведамленні з дазволеных адміністратарамі публічных каналаў могуць з'яўляцца на вэб-старонках сервера і ў вэб-пошуку без імёнаў карыстальнікаў і аватараў. Калі адміністратары нічога не мяняюць, публічныя каналы застаюцца ўключанымі. Элементы кіравання адміністратара (Налады сервера, Вэб-прысутнасць) і перамыкач удзельнікаў (Налады карыстальніка, Даныя і прыватнасць) даступныя зараз; налада ўдзельнікаў па змаўчанні выключана ў ЕС, Вялікабрытаніі, Канадзе, Бразіліі, Аўстраліі і Паўднёвай Карэі, а ўліковыя запісы падлеткаў выключаны.
• The Stanford Daily (27 кастрычніка 2026 г.) паведамляе, што прафесары, у тым ліку Тобіас Вольф, адмовіліся ад пагаднення Bartz v. Anthropic на суму 1,5 мільярда долараў, якое ахоплівае амаль 500 000 зарэгістраваных твораў па цане каля 3000 долараў за твор, і падаюць у суд на Anthropic асобна, патрабуючы суда прысяжных, заканадаўчага пакрыцця шкоды да 150 000 долараў за твор і забароны на навучанне на іх кнігах. Артыкул абагульняе ранейшае рашэнне суддзі Уільяма Алсапа як тое, што навучанне на законна набытых кнігах з'яўляецца сумленным выкарыстаннем, а стварэнне пастаяннай бібліятэкі з пірацкіх копій - не. Новыя пазовы з'яўляюцца абвінавачваннямі; рашэння па іх пазовах не знойдзена.

Перакладзеная стэнаграма

Перакладзена з арыгінальнай англійскай агучкі. Даступнае аўдыя і субтытры кантралююцца YouTube.

Халодны пачатак: сесія Tailscale SSH і сокеты толькі для root

0:00 Уваход у Tailscale SSH трымае вас у вашым уласным уліковым запісе карыстальніка. Справаздача, апублікаваная ў суботу, апісвае сесіі, якія дасягаюць сокетаў толькі для root павінны датыкацца, і Tailscale выпусціў выпраўленні на гэтым тыдні. У гэтым відэа чатыры гісторыі. Чаго магла дасягнуць сесія Tailscale SSH? Чаму git на Mac усё яшчэ давярае адкліканым сертыфікатам? Што зменіцца для публічных сервераў Discord шаснаццатага лістапада? І што заяўляюць аўтары ў сваіх пазовах супраць Anthropic?

0:27 Ёсць таксама прычына, па якой Tailscale адхіляе назву гэтай справаздачы. Я пакіну яе на канец. Сёння серада, дваццаць восьмага кастрычніка, і гэта The Daily Diff. Tailscale звязвае вашыя машыны ў адну прыватную сетку, і Tailscale SSH - гэта ўбудаваны сервер SSH, які правярае вашу асобу Tailscale замест файла ключа. Ён запускаецца ў працэсе з правамі root. Уявіце сабе швейцара, які таксама трымае галоўны ключ.

Гісторыя першая: чаго магла дасягнуць сесія Tailscale SSH

0:50 Гісторыя першая. Даследчык бяспекі Эрыка Віндзіш тэставала Tailscale 1.104.2 на працягу трох дзён і апублікавала справаздачу пад назвай Tailworm. Tailscale кажа, што справаздача дайшла да яе ў суботу раніцай, і даследчык апублікаваў яе праз дзве гадзіны. Галоўная выснова - гэта перасылка сокетаў. Уласны бюлетэнь Tailscale кажа, што яго сервер SSH працуе як root, правяраў шляхі сокетаў па іх тэксце, а затым выконваў працу як root. Гэта давала тры маршруты: падключэнне да сокета толькі для root,

1:16 аддаленая перасылка, якая выдаляе сокет, які належыць root, і гонка, калі ядро зноў вырашае шлях пасля праверкі. Tailscale кажа, што зламысніку патрэбна кропка апоры на прыладзе, якая ўжо знаходзіцца ў tailnet, з дазволенымі SSH і перасылкай па палітыцы. Выпраўленне - версія 1.104.4, і перасылка цяпер працуе як залагінены карыстальнік. Калі вы не можаце абнавіць сёння, бюлетэнь дакументуе наладу службы, якая выключае

1:42 перасылку. Гісторыя другая.

Гісторыя другая: чаму git на Mac усё яшчэ давярае eMudhra

1:44 У мінулую сераду я распавядаў пра ключы сертыфікатаў eMudhra, і я сказаў, што давер разгорнутага кліента ўсё яшчэ патрабуе праверкі. Больш чым праз тыдзень пасля таго, як Apple паведамілі, сайт даследчыка, які кіруецца Дэнісам Джэксанам, кажа, што git, curl і python на Mac усё яш1104.4чэ прымаюць сертыфікаты ад гэтых прамежкавых звеняў. Уласная старонка падтрымкі Apple апісвае падзел. Safari, Mail і праграмы на сеткавых фрэймворках Apple блакуюць сертыфікаты, і з 19 кастрычніка.

2:08 Але інструменты каманднага радка, такія як curl, git і python, чытаюць файл сертыфіката ў сістэмнай папцы, і яны прапускаюць блакаванне Apple да будучага абнаўлення. Сайт даследчыка дадае, што macOS 27.2, выпушчаная ў панядзелак, не выправіла гэтага і адмяніла ручны абыходны шлях. Старонка Apple сапраўды кажа, што абнаўленне можа замяніць гэты файл, і я не знайшоў даты выпраўлення. Бюлетэнь Tailscale па гэтых ключах, ад 21 кастрычніка, тлумачыць, што яго кліент давярае ўсяму, што давярае сістэмнае сховішча.

2:38 Калі вы ствараеце на Mac або запускаеце Mac CI-раннеры, запусціце праверку даследчыкаў супраць вашага ўласнага git, затым выканайце крокі Apple, якія выдаляюць да двух каранёвых сертыфікатаў з гэтага файла. Apple папярэджвае, што гэта можа парушыць працу некаторых сайтаў, і абнаўленне можа адмяніць гэта, таму правярайце яшчэ раз пасля кожнага абнаўлення.

Гісторыя трэцяя: Discord пераносіць публічныя серверы ў вэб-пошук

2:54 Гісторыя трэцяя. У аўторак Discord абвясціў, што абмеркаванні ў Discoverable Servers стануць лягчэй знаходзіць у вэб-пошуку. Гэта яго самыя публічныя серверы, з па меншай меры тысячай удзельнікаў, і Discord налічвае больш за шэсцьдзесят тры тысячы з іх. Вось даты. Кіраванне адміністратарамі і ўдзельнікамі пачало разгортвацца ў аўторак. Шаснаццатага лістапада кожны Discoverable Server атрымлівае публічную вэб-старонку, і аўтаматызаваныя зводкі каналаў могуць пачаць з'яўляцца на ёй.

3:18 З сярэдзіны снежня паведамленні з публічных каналаў могуць таксама з'яўляцца ў вэб-пошуку, без імёнаў карыстальнікаў і аватараў, калі адміністратары сервера дазваляюць гэта. Значэнне маюць значэнні па змаўчанні. Калі адміністратар нічога не мяняе, публічныя каналы застаюцца ўключанымі. Карыстальнікі атрымліваюць пераключальнік у наладах даных і прыватнасці. Ён пачынаецца ўключаным у большасці месцаў і выключаным па змаўчанні ў шасці, уключаючы Еўрапейскі Саюз і Вялікабрытанію. Уліковыя запісы падлеткаў выключаны, і паведамленні да сярэдзіны снежня не ўлічваюцца.

3:48 Дзве дэталі, за якімі трэба сачыць. Пераключальнік удзельнікаў ахоплівае паведамленні, у той час як зводкі каналаў генеруюцца асобна і застаюцца ўключанымі, калі адміністратар не выключыць іх. І паведамленне, адпраўленае, калі пераключальнік быў уключаны, застаецца, пакуль вы яго не выдаліце. Калі вы кіруеце супольнасцю, адкрыйце Web Presence у наладах сервера да шаснаццатага лістапада. Гісторыя чацвёртая, і я буду прытрымлівацца таго, што задакументавана.

Гісторыя чацвёртая: аўтары, Claude і другі судовы працэс

4:08 26 кастрычніка я распавядаў пра падачу Anthropic, у якой пералічана пагадненне з аўтарамі на суму 1,5 мільярда долараў. The Stanford Daily паведамляе, што прафесары, у тым ліку Тобіас Вольф, адмовіліся ад гэтага пагаднення і падаюць у суд асобна. Паводле Daily, пагадненне складае каля трох тысяч долараў за твор, прыблізна на пяцьсот тысяч твораў. Пазоў аб адмове просіць журы аб заканадаўчым пакрыцці шкоды да ста пяцідзесяці тысяч долараў за твор, у пяцьдзесят разоў больш, плюс загад аб забароне навучання на

4:37 кнігах істцоў. Рашэнне, якое ляжыць у аснове, вузейшае, чым загаловак. Суддзя Алсап прыйшоў да высновы, што навучанне на законна набытых кнігах з'яўляецца сумленным выкарыстаннем, і што стварэнне пастаяннай бібліятэкі з пірацкіх копій - не. Новыя пазовы абвінавачваюць у пірацкіх копіях, і я не знайшоў рашэння па іх пазовах. У верасні файлы OpenAI LibGen паднялі тое ж пытанне пра іншую лабараторыю. Калі вы збіраеце навучальныя даныя, вядзіце запіс, адкуль паходзіць кожны файл. Рашэнне аддзяляла законна набытыя кнігі ад пірацкіх копій,

5:07 таму пытанне, якое вам зададуць, - крыніца копій. Вернемся да назвы. Tailscale кажа, што нішто ў справаздачы не распаўсюджваецца самастойна. Ён называе шлях бакавым рухам, абмежаваным злучэннямі, якія ўжо дазваляе палітыка tailnet, і толькі з прылады, якой зламыснік ужо валодае. Старонка даследчыка адказвае, што недахопы былі знойдзены з невялікімі намаганнямі. Абодва могуць быць праўдай, і выпраўленне ў любым выпадку выпушчана. Калі вы аддаеце перавагу прачытаць гэта, чым пачуць ад мяне, разыходжанні прыходзяць у вашу скрыню

5:31 кожную раніцу, бясплатна на thedailydiff.dev, спасылка ніжэй. Такім чынам, сённяшні вердыкт - NEEDS REVIEW.

Вердыкт: NEEDS REVIEW

5:37 Я б перагледзеў яго, таму што выпраўленне Tailscale выпушчана, але вашы серверы яшчэ не абноўлены, праблема каманднага радка Apple усё яшчэ адкрыта, налады Discord па змаўчанні ўключаюцца шаснаццатага лістапада, а пазовы аўтараў усё яшчэ з'яўляюцца абвінавачваннямі. І гэта ўсё на сёння. Я Ніка з Axrisi. Аб'ядноўвайце адказна.

Крыніцы

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily