Les correccions de Tailworm de Tailscale, git al Mac i els certificats d'eMudhra, el canvi de cerca web de Discord i les demandes dels autors contra Anthropic: quatre històries de desenvolupadors en un Daily Diff

Què cobreix aquest vídeo

• Tailscale (publicació de blog, 28 d'octubre de 2026) diu que va rebre l'informe Tailworm, publicat per la investigadora Erica Windisch de Cyberdione Labs, el matí de dissabte, 24 d'octubre, i que la investigadora el va publicar dues hores després. Les versions provades van ser Tailscale 1.104.2 i headscale 0.29.5. Les correccions de Tailscale es troben a la versió 1.104.4, amb quatre butlletins de seguretat numerats del TS-2026-014 al TS-2026-017.
• El butlletí de Tailscale sobre el reenviament de sòcols Unix SSH diu que el servidor SSH del procés tailscaled amb privilegis de root validava els camins dels sòcols lèxicament, però realitzava les operacions com a root, cosa que permetia marcadors privilegiats mitjançant el reenviament local, l'eliminació de sòcols propietat de root mitjançant el reenviament remot i una carrera on el nucli tornava a resoldre el camí després de la comprovació. Els objectius accessibles incloïen el sòcol de Docker i l'API local de tailscaled. Tailscale ara reenvia els sòcols com a usuari autenticat. Fins a l'actualització, l'establiment de la variable d'entorn documentada TS_SSH_DISABLE_FORWARDING a 1 desactiva el reenviament sense desactivar Tailscale SSH.
• Tailscale diu que l'explotació necessita un punt d'accés existent en un dispositiu autoritzat a la tailnet, amb accés SSH i reenviament permès per la política, i que el camí és un moviment lateral limitat a les connexions que la política permet, i no descriu un cuc autoreplicant. La pàgina de l'investigador diu que les vulnerabilitats es van trobar amb poc esforç.
• Un lloc d'investigació gestionat per Dennis Jackson amb col·laboradors de la comunitat diu que Apple va ser notificada de l'incident del certificat intermedi eMudhra el 17 d'octubre i que, a 28 d'octubre, git, curl i python3 inclosos amb macOS encara accepten els certificats compromesos; també diu que macOS 27.2, llançat el 26 d'octubre, no va solucionar el problema i va desfer les solucions manuals. La pàgina de suport d'Apple confirma la divisió: des del 19 d'octubre, Safari, Mail i les aplicacions dels frameworks d'Apple bloquegen els certificats, mentre que eines com curl, git, python3, ruby, perl i openssl que comproven /etc/ssl/cert.pem encara els poden acceptar fins a una futura actualització. La pàgina d'Apple ofereix passos manuals opcionals i adverteix que una actualització pot reemplaçar el fitxer.
• La publicació del blog de Discord (27 d'octubre de 2026) diu que tots els Servidors Descobrables, que necessiten almenys 1.000 membres i sumen més de 63.000, tindran una pàgina web pública del servidor a partir del 16 de novembre de 2026, amb resums automatitzats de canals que podran començar el mateix dia. A partir de mitjans de desembre de 2026, els missatges dels canals públics permesos per l'administrador podran aparèixer a les pàgines web del servidor i a la cerca web sense noms d'usuari ni avatars. Si els administradors no canvien res, els canals públics romandran actius. Els controls d'administrador (Configuració del servidor, Presència web) i l'interruptor de membre (Configuració d'usuari, Dades i privadesa) ja estan disponibles; la configuració de membre està desactivada per defecte a la UE, el Regne Unit, el Canadà, el Brasil, Austràlia i Corea del Sud, i els comptes d'adolescents estan exclosos.
• The Stanford Daily (27 d'octubre de 2026) informa que professors com Tobias Wolff van optar per no participar en l'acord de Bartz v. Anthropic de 1.500 milions de dòlars, que cobreix prop de 500.000 obres registrades a uns 3.000 dòlars per obra, i estan demandant Anthropic per separat, buscant un judici amb jurat, danys estatutaris de fins a 150.000 dòlars per obra i una ordre judicial contra l'entrenament amb els seus llibres. L'article resumeix la sentència anterior del jutge William Alsup com a trobant que l'entrenament amb llibres adquirits legalment era un ús just i que la construcció d'una biblioteca permanent a partir de còpies pirates no ho era. Les noves demandes són al·legacions; no es va trobar cap sentència sobre les seves reclamacions.

Transcripció traduïda

Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube.

Inici fred: una sessió SSH de Tailscale i els sòcols només de root

0:00 Un inici de sessió SSH de Tailscale et manté dins del teu propi compte d'usuari. Un informe publicat dissabte descriu sessions que arriben a sòcols només de root haurien de tocar, i Tailscale va enviar les correccions aquesta setmana. En aquest vídeo, quatre històries. Què podia aconseguir una sessió SSH de Tailscale? Per què git en un Mac encara confia en certificats revocats? Què canvia per als servidors públics de Discord el setze de novembre? I què reclamen els autors en les seves demandes contra Anthropic?

0:27 També hi ha una raó per la qual Tailscale es resisteix al nom d'aquest informe. Ho deixaré per al final. És dimecres, vint-i-vuit d'octubre, i això és The Daily Diff. Tailscale uneix les teves màquines en una xarxa privada, i Tailscale SSH és el seu servidor SSH integrat, que comprova la teva identitat de Tailscale en lloc d'un fitxer de clau. S'executa dins d'un procés amb privilegis de root. Pensa en un porter que també té la clau mestra.

Història u: què podia aconseguir una sessió SSH de Tailscale

0:50 Història u. La investigadora de seguretat Erica Windisch va provar Tailscale u punt u zero quatre punt dos durant tres dies i va publicar un informe anomenat Tailworm. Tailscale diu que l'informe els va arribar dissabte al matí, i la investigadora el va publicar dues hores després. La troballa principal és el reenviament de sòcols. El propi butlletí de Tailscale diu que el seu servidor SSH s'executa com a root, va comprovar les rutes dels sòcols pel seu text, i després va fer la feina com a root. Això va donar tres rutes: una connexió a un sòcol només de root,

1:16 un reenviament remot que elimina un sòcol propietat de root, i una carrera on el nucli resol la ruta de nou després de la comprovació. Tailscale diu que un atacant necessita un punt de suport en un dispositiu ja a la tailnet, amb SSH i reenviament ambdós permesos per la política. La correcció és la versió u punt u zero quatre punt quatre, i el reenviament ara s'executa com l'usuari que ha iniciat sessió. Si no pots actualitzar avui, el butlletí documenta una configuració de servei que desactiva

1:42 el reenviament. Història dos.

Història dos: per què git en un Mac encara confia en eMudhra

1:44 Dimecres passat vaig cobrir les claus de certificat d'eMudhra, i vaig dir que la confiança del client desplegat encara necessitava ser comprovada. Més d'una setmana després que s'avisés a Apple, un lloc d'investigació gestionat per Dennis Jackson diu que git, curl i python en un Mac encara accepten certificats d'aquests intermediaris. La pròpia pàgina de suport d'Apple descriu la divisió. Safari, Mail i les aplicacions en els frameworks de xarxa d'Apple bloquegen els certificats, i ho fan des del dinou d'octubre.

2:08 Però les eines de línia d'ordres com curl, git i python llegeixen un fitxer de certificat a la carpeta del sistema, i salten el bloqueig d'Apple fins a una futura actualització. El lloc de l'investigador afegeix que macOS vint-i-set punt dos, llançat dilluns, no ho va solucionar i va desfer la solució manual. La pàgina d'Apple diu que una actualització pot substituir aquest fitxer, i no vaig trobar data per a la correcció. El butlletí de Tailscale sobre aquestes claus, del vint-i-u d'octubre, explica que el seu client confia en tot allò en què confia l'emmagatzematge del sistema.

2:38 Si construïu en un Mac o executeu executors de CI de Mac, executeu la comprovació dels investigadors contra el vostre propi git, i després seguiu els passos d'Apple, que eliminen fins a dos certificats arrel d'aquest fitxer. Apple adverteix que això pot trencar alguns llocs, i una actualització ho pot desfer, així que comproveu de nou després de cada actualització.

Història tres: Discord mou els servidors públics a la cerca web

2:54 Història tres. Dimarts, Discord va anunciar que les discussions als Servidors Descobrables seran més fàcils de trobar a la cerca web. Aquests són els seus servidors més públics, amb almenys mil membres, i Discord en compta més de seixanta-tres mil. Aquí teniu les dates. Els controls d'administrador i membre van començar a implementar-se dimarts. El setze de novembre, cada servidor descobrable tindrà una pàgina web pública, i podran començar a aparèixer-hi resums automatitzats de canals.

3:18 A partir de mitjans de desembre, els missatges dels canals públics també podran aparèixer a la cerca web, sense noms d'usuari ni avatars, si els administradors del servidor ho permeten. Els valors per defecte importen. Si un administrador no canvia res, els canals públics romandran activats. Els membres tenen un interruptor a la configuració de Dades i Privadesa. Comença activat a la majoria de llocs i desactivat per defecte en sis, incloent la Unió Europea i el Regne Unit. Els comptes d'adolescents estan exclosos, i els missatges anteriors a mitjans de desembre no compten.

3:48 Dos detalls a observar. L'interruptor de membre cobreix els missatges, mentre que els resums de canals es generen per separat i romanen activats tret que un administrador els desactive. I un missatge enviat mentre l'interruptor estava activat roman fins que el suprimiu. Si gestioneu una comunitat, obriu Presència web a la configuració del servidor abans del setze de novembre. Història quatre, i em cenyiré al que està documentat.

Història quatre: autors, Claude i una segona demanda

4:08 El vint-i-sis d'octubre vaig cobrir la presentació d'Anthropic, que enumera un acord de mil cinc-cents milions de dòlars amb autors. The Stanford Daily informa que professors, inclòs Tobias Wolff, van optar per no participar en aquest acord i estan demandant per separat. Segons el Daily, l'acord es tradueix en uns tres mil dòlars per obra, en prop de cinc-cents mil obres. La demanda d'exclusió demana a un jurat danys estatutaris de fins a cent cinquanta mil dòlars per obra, cinquanta vegades més, més una ordre contra l'entrenament amb

4:37 els llibres dels demandants. La sentència subjacent és més estreta que el titular. El jutge Alsup va considerar que l'entrenament amb llibres adquirits legalment era un ús just, i que la construcció d'una biblioteca permanent a partir de còpies pirates no ho era. Les noves demandes al·leguen còpies pirates, i no vaig trobar cap sentència sobre les seves reclamacions. Al setembre, els fitxers LibGen d'OpenAI van plantejar la mateixa pregunta sobre un altre laboratori. Si recopileu dades d'entrenament, manteniu un registre d'on prové cada fitxer. La sentència va separar els llibres adquirits legalment de les còpies pirates,

5:07 així que la font de les còpies és la pregunta que se us farà. Tornem al nom. Tailscale diu que res de l'informe es propaga per si sol. Anomena el camí moviment lateral, limitat a les connexions que la política de tailnet ja permet, i només des d'un dispositiu que l'atacant ja posseeix. La pàgina de l'investigador respon que les fallades es van trobar amb poc esforç. Ambdós poden ser certs, i la correcció ja està disponible de totes maneres. Si preferiu llegir això que escoltar-me-ho dir, el diff arriba a la vostra safata d'entrada

5:31 cada matí, gratis a the daily diff dot dev, enllaç a sota. Així que el veredicte d'avui és CAL REVISAR.

Veredicte: CAL REVISAR

5:37 Ho revisaria perquè la correcció de Tailscale està disponible, però els vostres servidors encara no estan actualitzats, la bretxa de la línia d'ordres d'Apple encara està oberta, els valors per defecte de Discord s'activen el setze de novembre, i les reclamacions dels autors encara són al·legacions. I això és el diff d'avui. Sóc en Niko d'Axrisi. Fusiona amb responsabilitat.

Fonts

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily