Opravy Tailwormu od Tailscale, Mac git a certifikáty eMudhra, změna webového vyhledávání Discordu a žaloby autorů proti Anthropicu: čtyři vývojářské příběhy v jednom The Daily Diff

Co toto video pokrývá

• Tailscale (blogový příspěvek, 28. října 2026) uvádí, že zprávu Tailworm, zveřejněnou výzkumnicí Ericou Windischovou z Cyberdione Labs, obdržel v sobotu 24. října ráno a že výzkumnice ji zveřejnila o dvě hodiny později. Testované verze byly Tailscale 1.104.2 a headscale 0.29.5. Opravy Tailscale jsou ve verzi 1.104.4, se čtyřmi bezpečnostními bulletiny s čísly TS-2026-014 až TS-2026-017.
• Bulletin Tailscale o předávání SSH Unix soketů uvádí, že SSH server v procesu tailscaled s oprávněním root ověřoval cesty soketů lexikálně, ale prováděl operace jako root, což umožnilo privilegované připojení prostřednictvím lokálního předávání, smazání soketů vlastněných rootem prostřednictvím vzdáleného předávání a závod, kdy jádro znovu vyřeší cestu po kontrole. Dosažitelné cíle zahrnovaly Docker soket a lokální API tailscaled. Tailscale nyní předává sokety jako ověřený uživatel. Dokud nebude aktualizováno, nastavení zdokumentované proměnné prostředí TS_SSH_DISABLE_FORWARDING na 1 zakáže předávání bez zakázání Tailscale SSH.
• Tailscale uvádí, že zneužití vyžaduje existující oporu na autorizovaném zařízení v tailnetu, s přístupem SSH a předáváním povoleným politikou, a že cesta je laterálním pohybem omezeným na spojení, která politika povoluje, a nepopsává samoopravný červ. Stránka výzkumníka uvádí, že chyby byly nalezeny s nízkým úsilím.
• Web výzkumníka provozovaný Dennisem Jacksonem s přispěvateli z komunity uvádí, že Apple byl informován o incidentu s intermediálním certifikátem eMudhra 17. října a že k 28. říjnu git, curl a python3 dodávané s macOS stále přijímají kompromitované certifikáty; také uvádí, že macOS 27.2, vydaný 26. října, problém neopravil a zrušil ruční řešení. Stránka podpory Apple potvrzuje rozdělení: od 19. října Safari, Mail a aplikace na frameworkech Apple blokují certifikáty, zatímco nástroje jako curl, git, python3, ruby, perl a openssl, které kontrolují /etc/ssl/cert.pem, je stále mohou přijímat až do budoucí aktualizace. Stránka Apple uvádí volitelné ruční kroky a varuje, že aktualizace může soubor nahradit.
• Příspěvek na blogu Discordu (27. října 2026) uvádí, že všechny Discoverable Servery, které potřebují alespoň 1 000 členů a je jich více než 63 000, budou mít od 16. listopadu 2026 veřejnou webovou stránku serveru, s automatizovanými souhrny kanálů, které mohou začít ve stejný den. Od poloviny prosince 2026 se zprávy z administrátorem povolených veřejných kanálů mohou objevovat na webových stránkách serveru a ve webovém vyhledávání bez uživatelských jmen nebo avatarů. Pokud administrátoři nic nezmění, veřejné kanály zůstanou zapnuté. Administrátorské ovládací prvky (Nastavení serveru, Webová přítomnost) a přepínač členů (Nastavení uživatele, Data a soukromí) jsou k dispozici nyní; nastavení členů je ve výchozím nastavení vypnuto v EU, Spojeném království, Kanadě, Brazílii, Austrálii a Jižní Koreji a účty dospívajících jsou vyloučeny.
• The Stanford Daily (27. října 2026) uvádí, že profesoři včetně Tobiase Wolffa se odhlásili z vyrovnání Bartz v. Anthropic ve výši 1,5 miliardy dolarů, které pokrývá téměř 500 000 registrovaných děl za přibližně 3 000 dolarů za dílo, a žalují Anthropic samostatně, požadují soudní řízení s porotou, zákonné náhrady škody až do výše 150 000 dolarů za dílo a soudní zákaz trénování na jejich knihách. Článek shrnuje dřívější rozhodnutí soudce Williama Alsupa, že trénování na legálně získaných knihách bylo spravedlivé použití a budování trvalé knihovny z pirátských kopií ne. Nové žaloby jsou obvinění; nebylo nalezeno žádné rozhodnutí o jejich nárocích.

Přeložený přepis

Přeloženo z původního anglického vyprávění. Dostupné audio a titulky jsou řízeny YouTube.

Chladný začátek: relace Tailscale SSH a sokety pouze pro root

0:00 Přihlášení pomocí Tailscale SSH vás udrží ve vašem uživatelském účtu. Zpráva zveřejněná v sobotu popisuje relace dosahující soketů pouze root by se měl dotknout, a Tailscale tento týden dodal opravy. V tomto videu, čtyři příběhy. Čeho by mohla dosáhnout relace Tailscale SSH? Proč git na Macu stále důvěřuje odvolaným certifikátům? Co se změní pro veřejné servery Discordu šestnáctého listopadu? A co tvrdí autoři ve svých žalobách proti Anthropicu?

0:27 Existuje také důvod, proč Tailscale odmítá název této zprávy. Nechám si to na konec. Je středa, dvacátého osmého října, a toto je The Daily Diff. Tailscale propojuje vaše stroje do jedné soukromé sítě, a Tailscale SSH je jeho vestavěný SSH server, který kontroluje vaši Tailscale identitu namísto souboru klíče. Běží uvnitř procesu s oprávněními root. Představte si vrátného, který drží i hlavní klíč.

Příběh první: co mohla relace Tailscale SSH dosáhnout

0:50 Příběh první. Bezpečnostní výzkumnice Erica Windischová testovala Tailscale jedna tečka jedna nula čtyři tečka dva po tři dny a zveřejnila zprávu nazvanou Tailworm. Tailscale uvádí, že zpráva k nim dorazila v sobotu ráno, a výzkumnice ji zveřejnila o dvě hodiny později. Hlavním zjištěním je předávání soketů. Vlastní bulletin Tailscale uvádí, že jeho SSH server běží jako root, kontroloval cesty soketů podle jejich textu a poté provedl práci jako root. To poskytlo tři cesty: připojení k soketu pouze pro root,

1:16 vzdálené předávání, které smaže soket vlastněný rootem, a závod, kdy jádro vyřeší cestu znovu po kontrole. Tailscale uvádí, že útočník potřebuje oporu na zařízení již v tailnetu, s SSH a předáváním povoleným politikou. Oprava je verze jedna tečka jedna nula čtyři tečka čtyři, a předávání nyní běží jako přihlášený uživatel. Pokud dnes nemůžete aktualizovat, bulletin dokumentuje nastavení služby, které vypne

1:42 předávání. Příběh druhý.

Příběh druhý: proč git na Macu stále důvěřuje eMudhra

1:44 Minulou středu jsem se zabýval klíči certifikátů eMudhra, a řekl jsem, že důvěra nasazeného klienta stále potřebuje kontrolu. Více než týden poté, co bylo Applu sděleno, web výzkumníka provozovaný Dennisem Jacksonem říká, že git, curl a python na Macu stále přijímají certifikáty z těchto intermediátů. Vlastní stránka podpory Apple popisuje rozdělení. Safari, Mail a aplikace na síťových frameworkech Apple blokují certifikáty, a to od devatenáctého října.

2:08 Ale nástroje příkazového řádku jako curl, git a python čtou soubor certifikátu v systémové složce a přeskočí blokování Apple až do budoucí aktualizace. Web výzkumníka dodává, že macOS dvacet sedm tečka dva, vydaný v pondělí, to neopravil a zrušil ruční řešení. Stránka Apple uvádí, že aktualizace může tento soubor nahradit, a nenašel jsem žádné datum opravy. Bulletin Tailscale o těchto klíčích, z jednadvacátého října, vysvětluje, že jeho klient důvěřuje tomu, čemu důvěřuje systémové úložiště.

2:38 Pokud stavíte na Macu nebo provozujete Mac CI běžce, spusťte kontrolu výzkumníků proti vašemu vlastnímu gitu, poté postupujte podle kroků Apple, které odstraní až dva kořenové certifikáty z tohoto souboru. Apple varuje, že to může rozbít některé weby, a aktualizace to může vrátit, takže po každé aktualizaci znovu zkontrolujte.

Příběh třetí: Discord přesouvá veřejné servery do webového vyhledávání

2:54 Příběh třetí. V úterý Discord oznámil, že diskuse v Discoverable Serverech budou snáze nalezitelné ve webovém vyhledávání. To jsou jeho nejveřejnější servery, s alespoň tisícem členů, a Discord jich počítá více než šedesát tři tisíc. Zde jsou data. Ovládací prvky pro administrátory a členy se začaly spouštět v úterý. Šestnáctého listopadu každý Discoverable Server získá veřejnou webovou stránku, a automatické souhrny kanálů se na ní mohou začít objevovat.

3:18 Od poloviny prosince se zprávy z veřejných kanálů mohou zobrazovat i ve webovém vyhledávání, bez uživatelských jmen nebo avatarů, pokud to administrátoři serveru povolí. Výchozí nastavení jsou důležitá. Pokud administrátor nic nezmění, veřejné kanály zůstanou zapnuté. Členové mají přepínač v nastavení Data a soukromí. Většinou je zapnutý a ve výchozím nastavení vypnutý v šesti místech, včetně Evropské unie a Spojeného království. Účty dospívajících jsou vyloučeny a zprávy z doby před polovinou prosince se nepočítají.

3:48 Dva detaily, které je třeba sledovat. Přepínač členů pokrývá zprávy, zatímco souhrny kanálů se generují samostatně a zůstanou zapnuté, dokud je administrátor nevypne. A zpráva odeslaná, když byl přepínač zapnutý, zůstane, dokud ji nesmažete. Pokud provozujete komunitu, otevřete Webovou přítomnost v nastavení serveru před šestnáctým listopadem. Příběh čtvrtý, a budu se držet toho, co je zdokumentováno.

Příběh čtvrtý: autoři, Claude a druhá žaloba

4:08 Dvacátého šestého října jsem se zabýval podáním Anthropicu, které uvádí dohodu ve výši jedné a půl miliardy dolarů s autory. The Stanford Daily uvádí, že profesoři včetně Tobiase Wolffa se odhlásili z tohoto vyrovnání a žalují samostatně. Podle The Daily, vyrovnání vychází na asi tři tisíce dolarů za dílo, napříč téměř pěti sty tisíci děl. Žaloba s odhlášením žádá porotu o zákonné náhrady škody až do výše sto padesáti tisíc dolarů za dílo, padesátkrát více, plus příkaz proti trénování na

4:37 knihách žalobců. Rozhodnutí pod tím je užší než titulek. Soudce Alsup zjistil, že trénování na legálně získaných knihách bylo spravedlivé použití, a že budování trvalé knihovny z pirátských kopií nebylo. Nové žaloby tvrdí, že jde o pirátské kopie, a nenašel jsem žádné rozhodnutí o jejich nárocích. V září soubory OpenAI LibGen vyvolaly stejnou otázku ohledně jiné laboratoře. Pokud shromažďujete tréninková data, uchovávejte záznam o tom, odkud každý soubor pochází. Rozhodnutí oddělilo legálně získané knihy od pirátských kopií,

5:07 takže zdroj kopií je otázka, na kterou se vás budou ptát. Zpět k názvu. Tailscale říká, že nic v této zprávě se samo nerozšíří. Nazývá cestu laterálním pohybem, omezeným na spojení, která politika tailnetu již povoluje, a pouze ze zařízení, které útočník již drží. Stránka výzkumníka odpovídá, že chyby byly nalezeny s nízkým úsilím. Oba mohou být pravdivé, a oprava je tak jako tak venku. Pokud si to raději přečtete, než abyste mě slyšeli říkat, diff přistane ve vaší doručené poště

5:31 každé ráno, zdarma na the daily diff dot dev, odkaz níže. Takže dnešní verdikt je NEEDS REVIEW.

Verdikt: NEEDS REVIEW

5:37 Provedl bych revizi, protože oprava Tailscale je venku, ale vaše servery ještě nejsou aktualizovány, mezera v příkazovém řádku Apple je stále otevřená, výchozí nastavení Discordu se zapnou šestnáctého listopadu a tvrzení autorů jsou stále jen obvinění. A to je dnešní diff. Jsem Niko z Axrisi. Spojujte zodpovědně.

Zdroje

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily