Tailscaleova Tailworm popravka, Mac git i eMudhra certifikati, Discordova promjena web pretrage i tužbe autora protiv Anthropic: četiri priče za developere u jednom Daily Diff-u

Šta ovaj video pokriva

• Tailscale (objava na blogu, 28. oktobar 2026.) kaže da je izvještaj o Tailwormu, koji je objavila istraživačica Erica Windisch iz Cyberdione Labs, primio ujutro u subotu, 24. oktobra, i da ga je istraživač objavio dva sata kasnije. Testirane verzije bile su Tailscale 1.104.2 i headscale 0.29.5. Tailscaleove popravke su u verziji 1.104.4, sa četiri sigurnosna biltena numerisanih TS-2026-014 do TS-2026-017.
• Tailscaleov bilten o prosljeđivanju SSH Unix soketa kaže da je SSH server u tailscaled procesu sa root privilegijama leksički validirao putanje soketa, ali je operacije izvršavao kao root, što je omogućilo privilegirane pozive kroz lokalno prosljeđivanje, brisanje soketa u vlasništvu roota kroz udaljeno prosljeđivanje i utrku gdje kernel ponovno rješava putanju nakon provjere. Dosegnuti ciljevi uključivali su Docker soket i tailscaled lokalni API. Tailscale sada prosljeđuje sokete kao autentifikovani korisnik. Dok se ne ažurira, postavljanje dokumentovane varijable okoline TS_SSH_DISABLE_FORWARDING na 1 onemogućava prosljeđivanje bez onemogućavanja Tailscale SSH-a.
• Tailscale kaže da eksploatacija zahtijeva postojeći pristup na ovlaštenom uređaju u tailnetu, sa SSH pristupom i prosljeđivanjem dopuštenim politikom, te da je put bočno kretanje ograničeno na veze koje politika dopušta, i ne opisuje samoreplicirajući crv. Stranica istraživača kaže da su propusti pronađeni sa malo truda.
• Stranica istraživača koju vodi Dennis Jackson sa suradnicima iz zajednice kaže da je Apple obaviješten o incidentu s eMudhra posredničkim certifikatom 17. oktobra i da, od 28. oktobra, git, curl i python3 koji dolaze s macOS-om i dalje prihvaćaju kompromitirane certifikate; također kaže da macOS 27.2, objavljen 26. oktobra, nije riješio problem i poništio je ručne zaobilazne postupke. Appleova stranica za podršku potvrđuje razliku: od 19. oktobra Safari, Mail i aplikacije na Appleovim okvirima blokiraju certifikate, dok alati kao što su curl, git, python3, ruby, perl i openssl koji provjeravaju /etc/ssl/cert.pem i dalje ih mogu prihvatiti do budućeg ažuriranja. Appleova stranica daje opcionalne ručne korake i upozorava da ažuriranje može zamijeniti datoteku.
• Objava Discordovog bloga (27. oktobar 2026.) kaže da će svi Discoverable Serveri, koji trebaju najmanje 1.000 članova i kojih ima više od 63.000, imati javnu web stranicu servera od 16. novembra 2026., sa automatskim sažecima kanala koji mogu početi istog dana. Od sredine decembra 2026., poruke iz javnih kanala koje je administrator dozvolio mogu se pojaviti na web stranicama servera i u web pretrazi bez korisničkih imena ili avatara. Ako administratori ništa ne promijene, javni kanali ostaju uključeni. Kontrole administratora (Postavke servera, Web prisutnost) i prekidač za članove (Korisničke postavke, Podaci i privatnost) su sada dostupni; postavka za članove je isključena po defaultu u EU, UK, Kanadi, Brazilu, Australiji i Južnoj Koreji, a tinejdžerski računi su isključeni.
• Stanford Daily (27. oktobar 2026.) izvještava da su profesori, uključujući Tobiasa Wolffa, odustali od nagodbe Bartz protiv Anthropic u iznosu od 1,5 milijardi dolara, koja pokriva skoro 500.000 registriranih djela po oko 3.000 dolara po djelu, i odvojeno tuže Anthropic, tražeći suđenje porotom, zakonsku odštetu do 150.000 dolara po djelu i sudsku zabranu obuke na njihovim knjigama. Članak sažima raniju presudu sudije Williama Alsupa kao nalaz da je obuka na legalno stečenim knjigama poštena upotreba, a izgradnja stalne biblioteke iz piratskih kopija nije. Nove tužbe su optužbe; nije pronađena presuda o njihovim tvrdnjama.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Hladni početak: Tailscale SSH sesija i root-only soketi

0:00 Tailscale SSH prijava vas drži unutar vašeg vlastitog korisničkog računa. Izvještaj objavljen u subotu opisuje sesije koje dosežu sokete koje samo root treba dodirivati, a Tailscale je isporučio popravke ove sedmice. U ovom videu, četiri priče. Što je Tailscale SSH sesija mogla doseći? Zašto git na Macu još uvijek vjeruje opozvanim certifikatima? Što se mijenja za javne Discord servere šesnaestog novembra? I što autori tvrde u svojim tužbama protiv Anthropic-a?

0:27 Postoji i razlog zašto se Tailscale protivi nazivu tog izvještaja. Sačuvat ću to za kraj. Srijeda je, dvadeset osmi oktobar, i ovo je The Daily Diff. Tailscale povezuje vaše mašine u jednu privatnu mrežu, a Tailscale SSH je njegov ugrađeni SSH server, koji provjerava vaš Tailscale identitet umjesto datoteke ključa. Pokreće se unutar procesa s root privilegijama. Zamislite vratara koji također drži glavni ključ.

Prva priča: što je Tailscale SSH sesija mogla doseći

0:50 Priča prva. Sigurnosna istraživačica Erica Windisch testirala je Tailscale verziju 1.104.2 tri dana i objavila izvještaj nazvan Tailworm. Tailscale kaže da je izvještaj stigao u subotu ujutro, a istraživačica ga je objavila dva sata kasnije. Glavno otkriće je prosljeđivanje soketa. Tailscaleov vlastiti bilten kaže da njegov SSH server radi kao root, provjerava putanje soketa prema tekstu, a zatim obavlja posao kao root. To je dalo tri puta: povezivanje na root-only soket,

1:16 udaljeno prosljeđivanje koje briše soket u vlasništvu root-a, i utrku gdje kernel ponovno rješava putanju nakon provjere. Tailscale kaže da napadač treba uporište na uređaju koji je već u tailnetu, sa SSH i prosljeđivanjem oba dopuštena politikom. Popravak je verzija 1.104.4, a prosljeđivanje sada radi kao prijavljeni korisnik. Ako ne možete ažurirati danas, bilten dokumentira postavku usluge koja isključuje

1:42 prosljeđivanje. Priča druga.

Druga priča: zašto git na Macu još uvijek vjeruje eMudhra

1:44 Prošle srijede sam pokrio eMudhra certifikatne ključeve, i rekao sam da povjerenje implementiranog klijenta još treba provjeriti. Više od sedmicu dana nakon što je Appleu rečeno, stranica istraživača koju vodi Dennis Jackson kaže da git, curl i python na Macu još uvijek prihvaćaju certifikate od tih posrednika. Appleova vlastita stranica za podršku opisuje podjelu. Safari, Mail i aplikacije na Appleovim mrežnim okvirima blokiraju certifikate, i to od devetnaestog oktobra.

2:08 Ali alati komandne linije kao što su curl, git i python čitaju datoteku certifikata u sistemskoj mapi, i preskaču Appleovu blokadu do budućeg ažuriranja. Stranica istraživača dodaje da macOS 27.2, objavljen u ponedjeljak, nije to popravio i poništio je ručnu zaobilaznicu. Appleova stranica kaže da ažuriranje može zamijeniti tu datoteku, i nisam pronašao datum za popravak. Tailscaleov bilten o ovim ključevima, od dvadeset prvog oktobra, objašnjava da njegov klijent vjeruje onome što sistem pohranjuje kao povjerljivo.

2:38 Ako gradite na Macu ili pokrećete Mac CI pokretače, pokrenite provjeru istraživača protiv vašeg vlastitog git-a, a zatim slijedite Appleove korake, koji uklanjaju do dva root certifikata iz te datoteke. Apple upozorava da to može prekinuti neke stranice, a ažuriranje to može poništiti, pa ponovno provjerite nakon svakog ažuriranja.

Treća priča: Discord premješta javne servere u web pretragu

2:54 Priča treća. U utorak je Discord objavio da će rasprave u Discoverable Serverima postati lakše pronaći u web pretrazi. To su njegovi najjavniji serveri, sa najmanje hiljadu članova, a Discord ih broji više od šezdeset tri hiljade. Evo datuma. Kontrole za administratore i članove počele su se objavljivati u utorak. Šesnaestog novembra svaki Discoverable Server dobija javnu web stranicu, i automatski sažeci kanala mogu se početi pojavljivati na njoj.

3:18 Od sredine decembra, poruke iz javnih kanala mogu se pojavljivati i u web pretrazi, bez korisničkih imena ili avatara, ako administratori servera to dozvole. Podrazumijevane postavke su važne. Ako administrator ništa ne promijeni, javni kanali ostaju uključeni. Članovi dobijaju prekidač u postavkama podataka i privatnosti. U većini mjesta počinje uključeno, a po zadanim postavkama isključeno u šest, uključujući Evropsku uniju i Ujedinjeno Kraljevstvo. Tinejdžerski računi su isključeni, a poruke od prije sredine decembra se ne računaju.

3:48 Dva detalja za praćenje. Prekidač za članove pokriva poruke, dok se sažeci kanala generiraju odvojeno i ostaju uključeni osim ako ih administrator ne isključi. A poruka poslana dok je prekidač bio uključen ostaje objavljena osim ako je ne izbrišete. Ako vodite zajednicu, otvorite Web prisutnost u postavkama servera prije šesnaestog novembra. Priča četvrta, i držat ću se onoga što je dokumentirano.

Četvrta priča: autori, Claude i druga tužba

4:08 Dvadeset šestog oktobra sam pokrio Anthropicovu prijavu, koja navodi nagodbu od 1,5 milijardi dolara sa autorima. Stanford Daily izvještava da su profesori, uključujući Tobiasa Wolffa, odustali od te nagodbe i tuže odvojeno. Prema Dailyju, nagodba iznosi oko tri hiljade dolara po djelu, za skoro petsto hiljada djela. Tužba za odustajanje traži od porote zakonsku odštetu do sto pedeset hiljada dolara po djelu, pedeset puta više, plus nalog protiv obuke na

4:37 knjigama tužitelja. Osnovna presuda je uža od naslova. Sudija Alsup je utvrdio da je obuka na legalno stečenim knjigama poštena upotreba, i da izgradnja stalne biblioteke iz piratskih kopija nije. Nove tužbe navode piratske kopije, i nisam pronašao presudu o njihovim tvrdnjama. U septembru, OpenAI LibGen datoteke pokrenule su isto pitanje o drugom laboratoriju. Ako sastavljate podatke za obuku, vodite evidenciju odakle je svaka datoteka došla. Presuda je razdvojila legalno stečene knjige od piratskih kopija,

5:07 tako da je izvor kopija pitanje koje će vam biti postavljeno. Natrag na ime. Tailscale kaže da se ništa u izvještaju ne širi samo od sebe. Put naziva bočnim kretanjem, ograničenim na veze koje politika tailneta već dopušta, i samo sa uređaja koji napadač već posjeduje. Stranica istraživača odgovara da su nedostaci pronađeni sa malo truda. Oboje može biti istina, a popravka je ionako objavljena. Ako ovo više volite čitati nego slušati me kako to govorim, diff stiže u vaš inbox

5:31 svako jutro, besplatno na the daily diff dot dev, link ispod. Dakle, današnja presuda je POTREBAN PREGLED.

Presuda: POTREBAN PREGLED

5:37 Pregledao bih to jer je Tailscaleova popravka objavljena, ali vaši serveri još nisu ažurirani, Appleov jaz u komandnoj liniji je još uvijek otvoren, Discordove zadane postavke se mijenjaju šesnaestog novembra, a tvrdnje autora su još uvijek navodi. I to je to za danas. Ja sam Niko iz Axrisi. Spojite odgovorno.

Izvori

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily