اصلاحات Tailworm تیل‌اسکیل، گیت مک و گواهی‌های eMudhra، تغییر جستجوی وب دیسکورد و شکایت نویسندگان از Anthropic: چهار داستان توسعه‌دهنده در یک Daily Diff

این ویدیو چه مواردی را پوشش می‌دهد

• Tailscale (پست وبلاگ، 28 اکتبر 2026) می‌گوید که گزارش Tailworm، که توسط محقق اریکا ویندیش از آزمایشگاه‌های Cyberdione منتشر شده، را صبح شنبه، 24 اکتبر دریافت کرده و محقق دو ساعت بعد آن را منتشر کرده است. نسخه‌های تست شده Tailscale 1.104.2 و headscale 0.29.5 بودند. اصلاحات Tailscale در نسخه 1.104.4، با چهار بولتن امنیتی به شماره‌های TS-2026-014 تا TS-2026-017، قرار دارند.
• بولتن Tailscale در مورد فورواردینگ سوکت SSH Unix می‌گوید که سرور SSH در فرآیند tailscaled با امتیاز روت، مسیرهای سوکت را به صورت لغوی اعتبارسنجی می‌کرد اما عملیات را به عنوان روت انجام می‌داد، که امکان برقراری ارتباط با امتیازات از طریق فورواردینگ محلی، حذف سوکت‌های متعلق به روت از طریق فورواردینگ از راه دور، و یک رقابت (race) را فراهم می‌کرد که در آن هسته مسیر را پس از بررسی دوباره حل می‌کند. اهداف قابل دسترس شامل سوکت Docker و API محلی tailscaled بودند. Tailscale اکنون سوکت‌ها را به عنوان کاربر احراز هویت شده فوروارد می‌کند. تا زمان به‌روزرسانی، تنظیم متغیر محیطی مستند شده TS_SSH_DISABLE_FORWARDING به 1، فورواردینگ را بدون غیرفعال کردن Tailscale SSH غیرفعال می‌کند.
• Tailscale می‌گوید که بهره‌برداری نیاز به یک جای پا (foothold) موجود در یک دستگاه مجاز در tailnet دارد، با دسترسی SSH و فورواردینگ که توسط سیاست مجاز باشد، و این مسیر یک حرکت جانبی است که محدود به اتصالاتی است که سیاست اجازه می‌دهد، و یک کرم خودتکثیرشونده را توصیف نمی‌کند. صفحه محقق می‌گوید که این نقص‌ها با تلاش کم پیدا شده‌اند.
• یک سایت تحقیقاتی که توسط دنیس جکسون با مشارکت‌کنندگان جامعه اداره می‌شود، می‌گوید که اپل در 17 اکتبر از حادثه گواهی‌نامه واسط eMudhra مطلع شده و تا 28 اکتبر، git، curl و python3 که با macOS عرضه می‌شوند، همچنان گواهی‌نامه‌های به خطر افتاده را می‌پذیرند؛ همچنین می‌گوید که macOS 27.2، که در 26 اکتبر منتشر شد، مشکل را حل نکرد و راه‌حل‌های دستی را از بین برد. صفحه پشتیبانی اپل این جدایی را تأیید می‌کند: از 19 اکتبر، سافاری، میل و برنامه‌های روی فریم‌ورک‌های اپل گواهی‌نامه‌ها را مسدود می‌کنند، در حالی که ابزارهایی مانند curl، git، python3، ruby، perl و openssl که /etc/ssl/cert.pem را بررسی می‌کنند، همچنان می‌توانند آنها را تا به‌روزرسانی بعدی بپذیرند. صفحه اپل مراحل دستی اختیاری را ارائه می‌دهد و هشدار می‌دهد که یک به‌روزرسانی می‌تواند فایل را جایگزین کند.
• پست وبلاگ دیسکورد (27 اکتبر 2026) می‌گوید که تمام سرورهای قابل کشف (Discoverable Servers)، که حداقل 1000 عضو نیاز دارند و بیش از 63000 مورد هستند، از 16 نوامبر 2026 یک صفحه وب عمومی سرور خواهند داشت، با خلاصه‌های خودکار کانال که می‌توانند از همان روز شروع شوند. از اواسط دسامبر 2026، پیام‌های کانال‌های عمومی مجاز توسط مدیران می‌توانند در صفحات وب سرور و در جستجوی وب بدون نام کاربری یا آواتار ظاهر شوند. اگر مدیران چیزی را تغییر ندهند، کانال‌های عمومی روشن می‌مانند. کنترل‌های مدیر (تنظیمات سرور، حضور در وب) و سوئیچ عضو (تنظیمات کاربر، داده‌ها و حریم خصوصی) اکنون در دسترس هستند؛ تنظیم عضو به طور پیش‌فرض در اتحادیه اروپا، انگلستان، کانادا، برزیل، استرالیا و کره جنوبی خاموش است و حساب‌های نوجوانان مستثنی هستند.
• The Stanford Daily (27 اکتبر 2026) گزارش می‌دهد که اساتیدی از جمله توبیاس وولف از توافق 1.5 میلیارد دلاری Bartz v. Anthropic، که نزدیک به 500,000 اثر ثبت شده را با حدود 3,000 دلار برای هر اثر پوشش می‌دهد، خارج شده‌اند و به طور جداگانه از Anthropic شکایت می‌کنند، و خواستار محاکمه هیئت منصفه، خسارات قانونی تا سقف 150,000 دلار برای هر اثر و حکمی علیه آموزش بر اساس کتاب‌هایشان هستند. این مقاله حکم قبلی قاضی ویلیام السوپ را به این صورت خلاصه می‌کند که آموزش بر اساس کتاب‌های قانونی خریداری شده را استفاده منصفانه و ساخت یک کتابخانه دائمی از نسخه‌های دزدی دریایی را غیرمنصفانه می‌داند. شکایت‌های جدید ادعا هستند؛ هیچ حکمی در مورد ادعاهای آنها یافت نشد.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

آغاز سرد: یک جلسه SSH تیل‌اسکیل و سوکت‌های فقط-روت

0:00 ورود به SSH Tailscale شما را در حساب کاربری خودتان نگه می‌دارد. گزارشی که شنبه منتشر شد، جلساتی را توصیف می‌کند که به سوکت‌های فقط روت می‌رسند باید دست زد، و Tailscale این هفته اصلاحات را ارسال کرد. در این ویدئو، چهار داستان. یک جلسه SSH Tailscale به چه چیزی می‌تواند دسترسی پیدا کند؟ چرا git در مک هنوز به گواهی‌نامه‌های باطل شده اعتماد دارد؟ چه تغییراتی برای سرورهای عمومی دیسکورد در شانزدهم نوامبر اعمال می‌شود؟ و نویسندگان در شکایت‌های خود علیه Anthropic چه ادعاهایی دارند؟

0:27 همچنین دلیلی وجود دارد که Tailscale در برابر نام آن گزارش مقاومت می‌کند. آن را برای آخر نگه می‌دارم. چهارشنبه، بیست و هشتم اکتبر است، و این The Daily Diff است. Tailscale دستگاه‌های شما را به یک شبکه خصوصی متصل می‌کند، و Tailscale SSH سرور SSH داخلی آن است، که هویت Tailscale شما را بررسی می‌کند به جای یک فایل کلید. آن در یک فرآیند با امتیازات روت اجرا می‌شود. تصور کنید یک دربان که کلید اصلی را نیز دارد.

داستان اول: آنچه یک جلسه SSH تیل‌اسکیل می‌توانست به آن دست یابد

0:50 داستان اول. محقق امنیتی اریکا ویندیش Tailscale 1.104.2 را به مدت سه روز آزمایش کرد و گزارشی به نام Tailworm منتشر کرد. Tailscale می‌گوید که گزارش صبح شنبه به آن رسیده است، و محقق دو ساعت بعد آن را منتشر کرده است. یافته اصلی فورواردینگ سوکت است. بولتن خود Tailscale می‌گوید که سرور SSH آن به عنوان روت اجرا می‌شود، مسیرهای سوکت را بر اساس متنشان بررسی می‌کرد و سپس کار را به عنوان روت انجام می‌داد. این سه مسیر را فراهم می‌کرد: اتصال به یک سوکت فقط روت،

1:16 یک فوروارد از راه دور که یک سوکت متعلق به روت را حذف می‌کند، و یک رقابت (race) که در آن هسته مسیر را دوباره پس از بررسی حل می‌کند. Tailscale می‌گوید که یک مهاجم نیاز به جای پا دارد بر روی دستگاهی که قبلاً در tailnet است، با SSH و فورواردینگ که هر دو توسط سیاست مجاز باشند. اصلاحیه نسخه 1.104.4 است، و فورواردینگ اکنون به عنوان کاربر وارد شده اجرا می‌شود. اگر امروز نمی‌توانید به‌روزرسانی کنید، بولتن یک تنظیم سرویس را مستند می‌کند که

1:42 فورواردینگ را خاموش می‌کند. داستان دوم.

داستان دوم: چرا گیت در مک هنوز به eMudhra اعتماد می‌کند

1:44 چهارشنبه گذشته من کلیدهای گواهی‌نامه eMudhra را پوشش دادم، و گفتم که اعتماد کلاینت مستقر هنوز نیاز به بررسی دارد. بیش از یک هفته پس از اطلاع اپل، یک سایت تحقیقاتی که توسط دنیس جکسون اداره می‌شود می‌گوید که git، curl و python در مک همچنان گواهی‌نامه‌های آن واسط‌ها را می‌پذیرند. صفحه پشتیبانی خود اپل این جدایی را توضیح می‌دهد. سافاری، میل و برنامه‌های روی فریم‌ورک‌های شبکه اپل گواهی‌نامه‌ها را مسدود می‌کنند، و از نوزدهم اکتبر این کار را کرده‌اند.

2:08 اما ابزارهای خط فرمان مانند curl، git و python یک فایل گواهی را در پوشه سیستم می‌خوانند، و آنها مسدودسازی اپل را تا به‌روزرسانی بعدی نادیده می‌گیرند. سایت تحقیقاتی اضافه می‌کند که macOS 27.2، که دوشنبه منتشر شد، مشکل را حل نکرد و راه‌حل دستی را از بین برد. صفحه اپل می‌گوید که یک به‌روزرسانی می‌تواند آن فایل را جایگزین کند، و من تاریخی برای این اصلاحیه پیدا نکردم. بولتن Tailscale در مورد این کلیدها، از بیست و یکم اکتبر، توضیح می‌دهد که کلاینت آن به هر آنچه که فروشگاه سیستم اعتماد می‌کند، اعتماد دارد.

2:38 اگر روی مک توسعه می‌دهید یا اجراکننده‌های CI مک را اجرا می‌کنید، بررسی محققان را در برابر git خودتان اجرا کنید، سپس مراحل اپل را دنبال کنید، که تا دو گواهی روت را از آن فایل حذف می‌کند. اپل هشدار می‌دهد که این می‌تواند برخی سایت‌ها را از کار بیاندازد، و یک به‌روزرسانی می‌تواند آن را خنثی کند، پس پس از هر به‌روزرسانی دوباره بررسی کنید.

داستان سوم: دیسکورد سرورهای عمومی را به جستجوی وب منتقل می‌کند

2:54 داستان سوم. سه‌شنبه دیسکورد اعلام کرد که بحث‌ها در سرورهای قابل کشف (Discoverable) در جستجوی وب راحت‌تر پیدا می‌شوند. اینها عمومی‌ترین سرورهای آن هستند، با حداقل هزار عضو، و دیسکورد بیش از شصت و سه هزار از آنها را شمارش می‌کند. اینها تاریخ‌ها هستند. کنترل‌های مدیر و عضو سه‌شنبه شروع به کار کردند. در شانزدهم نوامبر، هر سرور قابل کشف یک صفحه وب عمومی دریافت می‌کند، و خلاصه‌های خودکار کانال می‌توانند در آن ظاهر شوند.

3:18 از اواسط دسامبر، پیام‌های کانال‌های عمومی نیز می‌توانند در جستجوی وب نمایش داده شوند، بدون نام کاربری یا آواتار، اگر مدیران سرور اجازه دهند. تنظیمات پیش‌فرض مهم هستند. اگر یک مدیر چیزی را تغییر ندهد، کانال‌های عمومی روشن می‌مانند. اعضا یک سوئیچ در تنظیمات داده و حریم خصوصی دارند. در بیشتر مکان‌ها روشن است و در شش مکان به طور پیش‌فرض خاموش است، از جمله اتحادیه اروپا و بریتانیا. حساب‌های نوجوانان مستثنی هستند، و پیام‌های قبل از اواسط دسامبر شمارش نمی‌شوند.

3:48 دو جزئیات برای تماشا. سوئیچ عضو پیام‌ها را پوشش می‌دهد، در حالی که خلاصه‌های کانال به طور جداگانه تولید می‌شوند و روشن می‌مانند مگر اینکه یک مدیر آنها را خاموش کند. و پیامی که در زمانی که سوئیچ روشن بود ارسال شده، باقی می‌ماند مگر اینکه شما آن را حذف کنید. اگر یک جامعه را اداره می‌کنید، قبل از شانزدهم نوامبر Web Presence را در تنظیمات سرور باز کنید. داستان چهارم، و من به آنچه مستند شده است پایبند خواهم بود.

داستان چهارم: نویسندگان، Claude و یک پرونده قضایی دوم

4:08 در بیست و ششم اکتبر، من پرونده Anthropic را پوشش دادم، که یک توافق 1.5 میلیارد دلاری با نویسندگان را ذکر می‌کند. The Stanford Daily گزارش می‌دهد که اساتیدی از جمله توبیاس وولف از آن توافق خارج شده‌اند و به طور جداگانه شکایت می‌کنند. بر اساس Daily، این توافق حدود سه هزار دلار برای هر اثر، در نزدیک به پانصد هزار اثر، می‌شود. دعوای انصراف‌دهندگان از هیئت منصفه خسارات قانونی تا سقف صد و پنجاه هزار دلار برای هر اثر، پنجاه برابر بیشتر، به علاوه دستوری علیه آموزش بر اساس

4:37 کتاب‌های شاکیان درخواست می‌کند. حکم زیرین باریک‌تر از عنوان است. قاضی آلسوپ دریافت که آموزش بر اساس کتاب‌های قانونی خریداری شده استفاده منصفانه است، و ساخت یک کتابخانه دائمی از نسخه‌های دزدی دریایی اینگونه نیست. شکایت‌های جدید ادعا می‌کنند نسخه‌های دزدی دریایی، و من هیچ حکمی در مورد ادعاهای آنها پیدا نکردم. در سپتامبر، فایل‌های OpenAI LibGen همان سوال را در مورد آزمایشگاه دیگری مطرح کردند. اگر داده‌های آموزشی را جمع‌آوری می‌کنید، سوابق منبع هر فایل را نگه دارید. این حکم کتاب‌های قانونی خریداری شده را از نسخه‌های دزدی دریایی جدا کرد،

5:07 بنابراین منبع نسخه‌ها سوالی است که از شما پرسیده خواهد شد. برگردیم به نام. Tailscale می‌گوید هیچ چیزی در این گزارش به خودی خود پخش نمی‌شود. آن این مسیر را حرکت جانبی می‌نامد، محدود به اتصالاتی که سیاست tailnet قبلاً اجازه می‌دهد، و فقط از دستگاهی که مهاجم قبلاً آن را در اختیار دارد. صفحه محقق پاسخ می‌دهد که نقص‌ها با تلاش کم پیدا شده‌اند. هر دو می‌تواند درست باشد، و اصلاحیه به هر حال منتشر شده است. اگر ترجیح می‌دهید این را بخوانید تا اینکه من آن را بگویم، diff هر روز صبح

5:31 به صورت رایگان در thedailydiff.dev به صندوق پستی شما می‌رسد، لینک در پایین. بنابراین حکم امروز NEEDS REVIEW است.

حکم: NEEDS REVIEW

5:37 من آن را بررسی می‌کنم زیرا اصلاحیه Tailscale منتشر شده اما سرورهای شما هنوز به‌روزرسانی نشده‌اند، شکاف خط فرمان اپل هنوز باز است، تنظیمات پیش‌فرض دیسکورد در شانزدهم نوامبر تغییر می‌کند، و ادعاهای نویسندگان هنوز ادعا هستند. و این برای امروز diff بود. من نیکو از Axrisi هستم. مسئولانه ادغام کنید.

منابع

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily