# Tailscalen Tailworm-korjaukset, Macin git ja eMudhra-varmenteet, Discord-verkkohakumuutos ja kirjailijoiden kanteet Anthropicia vastaan: neljä kehittäjätarinaa yhdessä Daily Diffissä

Published: 2026-10-28

Neljä kehittäjätarinaa yhdeltä keskiviikolta, kukin perustuen ensisijaiseen lähteeseensä: Tailscale julkaisi version 1.104.4 tutkijan Tailworm-nimisen raportin jälkeen, joka kuvasi SSH-välityksen yltävän vain root-käyttäjän pistorasioihin; tutkijasivusto kertoo, että macOS:n git, curl ja python hyväksyvät edelleen vaarantuneiden eMudhran välivarmenneviranomaisten varmenteita, kun taas Applen tukisivu selittää, miksi komentorivityökalut lukevat erillisen varmennetiedoston; Discord ilmoittaa, että löydettävien palvelimien keskustelut siirtyvät verkkohakuun joulukuun puolivälistä alkaen, ja hallintalaitteet ovat nyt saatavilla; ja Stanford Daily raportoi, että Bartz-sovinnosta kieltäytyneet professorit haastavat Anthropicin erikseen oikeuteen. Kanteet ovat syytöksiä, Applen korjauksella ei ole julkaistua päivämäärää, ja tuomio on NEEDS REVIEW.

Canonical: https://thedailydiff.dev/fi/video/2026-10-28-tailworm-emudhra-discord/

## Mitä tämä video käsittelee

- Tailscale (blogikirjoitus, 28. lokakuuta 2026) kertoo vastaanottaneensa Cyberdione Labsin tutkija Erica Windischin julkaiseman Tailworm-raportin lauantaina 24. lokakuuta aamulla, ja että tutkija julkaisi sen kaksi tuntia myöhemmin. Testatut versiot olivat Tailscale 1.104.2 ja headscale 0.29.5. Tailscalen korjaukset ovat versiossa 1.104.4, ja niihin liittyy neljä tietoturvatiedotetta numeroilla TS-2026-014 – TS-2026-017.
- Tailscalen tiedote SSH Unix-socket-välityksestä kertoo, että root-etuoikeutetussa tailscaled-prosessissa oleva SSH-palvelin vahvisti socket-polut leksikaalisesti, mutta suoritti toiminnot root-käyttäjänä, mikä mahdollisti etuoikeutetut yhteydet paikallisen välityksen kautta, root-omistuksessa olevien socketien poistamisen etävälityksen kautta ja kilpailutilanteen, jossa kernel ratkaisee polun uudelleen tarkistuksen jälkeen. Saavutettavia kohteita olivat Docker-socket ja tailscaledin paikallinen API. Tailscale välittää nyt socketit todennettuna käyttäjänä. Ennen päivitystä dokumentoidun TS\_SSH\_DISABLE\_FORWARDING -ympäristömuuttujan asettaminen arvoon 1 poistaa välityksen käytöstä poistamatta Tailscale SSH:ta käytöstä.
- Tailscale sanoo, että hyväksikäyttö vaatii olemassa olevan jalansijan valtuutetussa laitteessa tailnetissä, SSH-yhteyden ja välityksen sallimisen käytännöllä, ja että polku on sivuttaisliikettä, joka rajoittuu käytännön sallimiin yhteyksiin, eikä se kuvaa itseään kopioivaa matoa. Tutkijan sivu sanoo, että viat löydettiin vähällä vaivalla.
- Dennis Jacksonin ja yhteisön avustajien ylläpitämä tutkijasivusto kertoo, että Applelle ilmoitettiin eMudhran välivarmenneviranomaisten tapauksesta 17. lokakuuta ja että 28. lokakuuta alkaen macOS:n mukana toimitettavat git, curl ja python3 hyväksyvät edelleen vaarantuneet varmenteet; se sanoo myös, että 26. lokakuuta julkaistu macOS 27.2 ei korjannut ongelmaa ja kumosi manuaaliset kiertotavat. Applen tukisivu vahvistaa jaon: 19. lokakuuta lähtien Safari, Mail ja Applen kehyspohjaiset sovellukset estävät varmenteet, kun taas työkalut kuten curl, git, python3, ruby, perl ja openssl, jotka tarkistavat /etc/ssl/cert.pem -tiedoston, voivat edelleen hyväksyä ne, kunnes tuleva päivitys ilmestyy. Applen sivu antaa valinnaisia manuaalisia vaiheita ja varoittaa, että päivitys voi korvata tiedoston.
- Discordin blogikirjoitus (27. lokakuuta 2026) kertoo, että kaikilla löydettävissä olevilla palvelimilla, jotka tarvitsevat vähintään 1000 jäsentä ja joita on yli 63 000, on julkinen palvelimen verkkosivu 16. marraskuuta 2026 alkaen, ja automaattiset kanavayhteenvedot voivat alkaa samana päivänä. Joulukuun puolivälistä 2026 alkaen viestit ylläpitäjien sallimista julkisista kanavista voivat näkyä palvelimen verkkosivuilla ja verkkohaussa ilman käyttäjänimiä tai avatareja. Jos ylläpitäjät eivät muuta mitään, julkiset kanavat pysyvät päällä. Ylläpitäjän säätimet (palvelimen asetukset, verkkonäkyvyys) ja jäsenten kytkin (käyttäjäasetukset, data ja yksityisyys) ovat nyt saatavilla; jäsenasetus on oletuksena pois päältä EU:ssa, Isossa-Britanniassa, Kanadassa, Brasiliassa, Australiassa ja Etelä-Koreassa, ja teini-ikäisten tilit on suljettu pois.
- Stanford Daily (27. lokakuuta 2026) raportoi, että professorit, mukaan lukien Tobias Wolff, kieltäytyivät 1,5 miljardin dollarin Bartz v. Anthropic -sovinnosta, joka kattaa lähes 500 000 rekisteröityä teosta noin 3000 dollarilla teosta kohden, ja haastavat Anthropicin erikseen oikeuteen vaatien valamiehistön oikeudenkäyntiä, lakisääteisiä vahingonkorvauksia jopa 150 000 dollaria teosta kohden ja kieltoa kirjojen kouluttamisesta. Artikkeli tiivistää tuomari William Alsupin aiemman päätöksen siten, että laillisesti hankittujen kirjojen kouluttaminen on reilua käyttöä, mutta pysyvän kirjaston rakentaminen piraattikopioista ei ole. Uudet kanteet ovat väitteitä; niiden vaatimuksista ei löytynyt päätöstä.

## Kysymyksiä ja vastauksia

### Mitä Tailworm-raportti löysi Tailscale SSH:sta, ja mikä versio korjaa sen?

Tailscalen tiedotteen mukaan sen SSH-palvelin, joka toimii root-käyttäjänä tailscaled-prosessissa, tarkisti Unix-socket-polut tekstinsä perusteella ja teki sitten työn root-käyttäjänä. Tämä mahdollisti valtuutetun istunnon, jossa välitys oli sallittu, pääsyn vain root-käyttäjän socketiin, kuten Docker-socketiin tai tailscaledin paikalliseen APIin. Korjaukset ovat Tailscale-versiossa 1.104.4, ja socketit välitetään nyt kirjautuneena käyttäjänä.

### Miten kytken SSH-välityksen pois päältä Tailscalessa, kunnes voin päivittää?

Tailscalen tiedotteessa ohjeistetaan asettamaan ympäristömuuttuja TS\_SSH\_DISABLE\_FORWARDING arvoksi 1 tailscaled-palvelun ympäristössä ja käynnistämään palvelu uudelleen. Tämä poistaa välityksen käytöstä poistamatta Tailscale SSH:ta kokonaan. Tailscale suosittelee myös SSH-käyttöoikeuskäytäntöjen tarkistamista ja päivittämistä versioon 1.104.4 tai uudempaan, ja toteaa, että hyökkääjä tarvitsee olemassa olevan jalansijan valtuutetussa laitteessa.

### Luottavatko Macin git ja curl edelleen vaarantuneisiin eMudhran varmenteisiin?

Dennis Jacksonin ylläpitämä tutkijasivusto kertoo, että 28. lokakuuta alkaen macOS:n mukana toimitettavat git, curl ja python3 hyväksyvät edelleen vaarantuneiden eMudhran välivarmenneviranomaisten varmenteita, ja että macOS 27.2 ei korjannut sitä. Applen tukisivu vahvistaa, että työkalut, jotka tarkistavat /etc/ssl/cert.pem -tiedoston, voivat edelleen hyväksyä ne tulevaan päivitykseen asti, kun taas Safari ja Mail estävät ne 19. lokakuuta lähtien.

### Mitä Discord muuttaa julkisille palvelimille, ja miten ylläpitäjät ja jäsenet voivat kieltäytyä?

Discord kertoo, että jokainen löydettävä palvelin, eli vähintään 1000 jäsentä, saa julkisen palvelimen verkkosivun 16. marraskuuta 2026, ja viestit ylläpitäjien sallimista julkisista kanavista voivat näkyä verkkohaussa joulukuun puolivälistä alkaen. Ylläpitäjät valitsevat kanavat Palvelinasetuksista Verkkonäkyvyys-kohdasta. Jäsenet voivat kytkeä viestinsä pois päältä Käyttäjäasetuksista Data ja yksityisyys -kohdasta; jäsenasetus on oletusarvoisesti pois päältä kuudella alueella.

### Mikä oli The Daily Diffin tuomio näistä neljästä tarinasta?

The Daily Diffin tuomio oli NEEDS REVIEW. Nikon syy on, että Tailscalen korjaus on julkaistu, mutta palvelimet eivät ole vielä päivittyneet, Applen komentorivin aukko on edelleen auki, Discordin oletusarvot kytkeytyvät päälle 16. marraskuuta, ja kirjailijoiden väitteet Anthropicia vastaan ovat edelleen väitteitä. Neuvona on päivittää Tailscale, tarkistaa oma git, tarkistaa Discordin asetukset ja lukea ensisijaiset lähteet.

## Luvut

- 0:00 Alku: Tailscale SSH -istunto ja vain root-käyttäjän pistorasiat
- 0:50 Tarina yksi: mihin Tailscale SSH -istunto voisi yltää
- 1:43 Tarina kaksi: miksi Macin git edelleen luottaa eMudhraan
- 2:54 Tarina kolme: Discord siirtää julkiset palvelimet verkkohakuun
- 4:06 Tarina neljä: kirjailijat, Claude ja toinen oikeusjuttu
- 5:35 Tuomio: NEEDS REVIEW

## Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

### Alku: Tailscale SSH -istunto ja vain root-käyttäjän pistorasiat

0:00 Tailscale SSH -kirjautuminen pitää sinut omalla käyttäjätililläsi. Lauantaina julkaistu raportti kuvaa istuntoja, jotka saavuttavat vain root-käyttäjälle kuuluvia pistorasioita, ja Tailscale julkaisi korjaukset tällä viikolla. Tässä videossa neljä tarinaa. Mihin Tailscale SSH -istunto voisi yltää? Miksi Macin git luottaa edelleen kumottuihin varmenteisiin? Mitä muutoksia julkisille Discord-palvelimille 16. marraskuuta? Ja mitä kirjailijat väittävät Anthropicia vastaan nostamissaan kanteissa?

0:27 On myös syy, miksi Tailscale vastustaa kyseisen raportin nimeä. Säästän sen loppuun. On keskiviikko, 28. lokakuuta, ja tämä on The Daily Diff. Tailscale yhdistää koneesi yhdeksi yksityiseksi verkoksi, ja Tailscale SSH on sen sisäänrakennettu SSH-palvelin, joka tarkistaa Tailscale-identiteettisi avaimen sijasta. Se toimii root-oikeuksilla varustetussa prosessissa. Ajattele ovimiestä, jolla on myös pääavain.

### Tarina yksi: mihin Tailscale SSH -istunto voisi yltää

0:50 Tarina yksi. Tietoturvatutkija Erica Windisch testasi Tailscale 1.104.2:ta kolme päivää ja julkaisi raportin nimeltä Tailworm. Tailscale sanoo, että raportti saapui heille lauantaina aamulla, ja tutkija julkaisi sen kaksi tuntia myöhemmin. Päähavainto on socket-välitys. Tailscalen oma tiedote sanoo, että sen SSH-palvelin toimii root-käyttäjänä, tarkisti socket-polut tekstinsä perusteella ja teki sitten työn root-käyttäjänä. Tämä antoi kolme reittiä: yhteys vain root-käyttäjän socketiin,

1:16 etävälitys, joka poistaa root-omistuksessa olevan socketin, ja kilpailutilanne, jossa kernel ratkaisee polun uudelleen tarkistuksen jälkeen. Tailscale sanoo, että hyökkääjä tarvitsee jalansijan laitteessa, joka on jo tailnetissä, ja SSH ja välitys on molemmat sallittu käytännöllä. Korjaus on versio 1.104.4, ja välitys suoritetaan nyt kirjautuneena käyttäjänä. Jos et voi päivittää tänään, tiedotteessa on dokumentoitu palvelinasetus, joka kytkee

1:42 välityksen pois päältä. Tarina kaksi.

### Tarina kaksi: miksi Macin git edelleen luottaa eMudhraan

1:44 Viime keskiviikkona käsittelin eMudhran varmenneavaimia, ja sanoin, että käyttöön otetun asiakkaan luottamus tarvitsee edelleen tarkistusta. Yli viikko sen jälkeen, kun Applelle oli kerrottu, Dennis Jacksonin ylläpitämä tutkijasivusto sanoo, että Macin git, curl ja python hyväksyvät edelleen varmenteet näiltä välivarmenneviranomaisilta. Applen oma tukisivu kuvaa jaon. Safari, Mail ja sovellukset Applen verkkokehysten kautta estävät varmenteet, ja ovat tehneet niin 19. lokakuuta lähtien.

2:08 Mutta komentorivityökalut, kuten curl, git ja python, lukevat varmennetiedoston järjestelmäkansiosta, ja ne ohittavat Applen eston tulevaan päivitykseen asti. Tutkijasivusto lisää, että maanantaina julkaistu macOS 27.2 ei korjannut sitä ja kumosi manuaalisen kiertotavan. Applen sivu sanoo, että päivitys voi korvata tiedoston, enkä löytänyt korjaukselle päivämäärää. Tailscalen tiedote näistä avaimista, 21. lokakuuta, selittää, että sen asiakas luottaa siihen, mihin järjestelmäluettelo luottaa.

2:38 Jos kehität Macilla tai käytät Mac CI -juoksuttimia, suorita tutkijoiden tarkistus omaa gitiäsi vastaan, ja noudata sitten Applen ohjeita, jotka poistavat jopa kaksi root-varmennetta kyseisestä tiedostosta. Apple varoittaa, että se voi rikkoa joitakin sivustoja, ja päivitys voi kumota sen, joten tarkista uudelleen jokaisen päivityksen jälkeen.

### Tarina kolme: Discord siirtää julkiset palvelimet verkkohakuun

2:54 Tarina kolme. Tiistaina Discord ilmoitti, että löydettävissä olevien palvelimien keskusteluista tulee helpompi löytää verkkohausta. Nämä ovat sen julkisimpia palvelimia, joissa on vähintään tuhat jäsentä, ja Discord laskee niitä olevan yli kuusikymmentäkolmetuhatta. Tässä ovat päivämäärät. Ylläpitäjän ja jäsenten hallintalaitteet alkoivat rullata ulos tiistaina. Marraskuun 16. päivänä jokainen löydettävä palvelin saa julkisen verkkosivun, ja automaattiset kanavayhteenvedot voivat alkaa näkyä siinä.

3:18 Joulukuun puolivälistä lähtien viestit julkisilta kanavilta voivat näkyä myös verkkohaussa, ilman käyttäjänimiä tai avatareja, jos palvelimen ylläpitäjät sallivat sen. Oletusarvoilla on merkitystä. Jos ylläpitäjä ei muuta mitään, julkiset kanavat pysyvät päällä. Jäsenet saavat kytkimen Data ja yksityisyys -asetuksiin. Se on päällä useimmissa paikoissa ja oletusarvoisesti pois päältä kuudessa, mukaan lukien Euroopan unioni ja Yhdistynyt kuningaskunta. Teini-ikäisten tilit on suljettu pois, eivätkä ennen joulukuun puoliväliä lähetetyt viestit huomioida.

3:48 Kaksi yksityiskohtaa, joita seurata. Jäsenkytkin kattaa viestit, kun taas kanavayhteenvedot luodaan erikseen ja pysyvät päällä, ellei ylläpitäjä kytke niitä pois päältä. Ja viesti, joka lähetettiin kytkimen ollessa päällä, pysyy ylhäällä, ellet poista sitä. Jos ylläpidät yhteisöä, avaa Verkkonäkyvyys palvelinasetuksissa ennen marraskuun kuudestoista päivää. Tarina neljä, ja pysyn dokumentoidussa.

### Tarina neljä: kirjailijat, Claude ja toinen oikeusjuttu

4:08 26. lokakuuta käsittelin Anthropicin hakemusta, joka luettelee 1,5 miljardin dollarin sovinnon kirjailijoiden kanssa. Stanford Daily raportoi, että professorit, mukaan lukien Tobias Wolff, kieltäytyivät tästä sovinnosta ja haastavat erikseen oikeuteen. Daily-lehden mukaan sovinto on noin kolmetuhatta dollaria teosta kohden, lähes viidessäsadassa tuhannessa teoksessa. Kieltäytymisoikeusjuttu pyytää valamiehistöltä lakisääteisiä vahingonkorvauksia jopa sataviisikymmentä tuhatta dollaria teosta kohden, viisikymmentä kertaa enemmän, sekä kieltoa kouluttaa

4:37 kantajien kirjoilla. Taustalla oleva päätös on otsikkoa suppeampi. Tuomari Alsup katsoi, että laillisesti hankituilla kirjoilla harjoittelu oli kohtuullista käyttöä, ja että pysyvän kirjaston rakentaminen piraattikopioista ei ollut. Uudet kanteet väittävät piraattikopioita, enkä löytänyt päätöstä heidän vaatimuksistaan. Syyskuussa OpenAI LibGen -tiedostot herättivät saman kysymyksen toisesta laboratoriosta. Jos kokoat koulutusdataa, pidä kirjaa jokaisen tiedoston alkuperästä. Päätös erotti laillisesti hankitut kirjat piraattikopioista,

5:07 joten kopioiden lähde on kysymys, joka sinulle esitetään. Takaisin nimeen. Tailscale sanoo, ettei mikään raportissa leviä itsestään. Se kutsuu polkua sivuttaisliikkeeksi, joka on rajoitettu tailnet-käytännön jo sallimiin yhteyksiin, ja vain hyökkääjän jo hallussa olevasta laitteesta. Tutkijan sivu vastaa, että viat löydettiin vähällä vaivalla. Molemmat voivat olla totta, ja korjaus on joka tapauksessa julkaistu. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, tiedot laskeutuvat postilaatikkoosi

5:31 joka aamu, ilmaiseksi osoitteessa thedailydiff.dev, linkki alla. Joten tämän päivän tuomio on NEEDS REVIEW.

### Tuomio: NEEDS REVIEW

5:37 Tarkistaisin sen, koska Tailscalen korjaus on julkaistu, mutta palvelimesi eivät ole päivittyneet vielä, Applen komentorivin aukko on edelleen auki, Discordin oletusarvot kytkeytyvät päälle marraskuun kuudestoista päivä, ja kirjailijoiden väitteet ovat edelleen väitteitä. Ja siinäpä tämän päivän ero. Olen Niko Axrisista. Yhdistä vastuullisesti.

## Lähteet

- [Tailscale SSH: Findings and fixes](https://tailscale.com/blog/tailscale-ssh-findings-fixes) — Tailscale
- [Tailscale SSH: Investigation and remediation update](https://tailscale.com/ssh-investigation-update) — Tailscale
- [Tailscale security bulletins](https://tailscale.com/security-bulletins) — Tailscale
- [Tailworm: Tailscale vulnerabilities](https://tailworm.com/) — Cyberdione Labs (Erica Windisch)
- [Apple's git still trusts the compromised eMudhra certificates](https://emudhra.we-have-a-problem.com/apple.html) — Dennis Jackson and contributors
- [About the compromised eMudhra intermediate CAs](https://support.apple.com/en-us/149555) — Apple Support
- [Making Content from Discoverable Servers Easier to Discover](https://discord.com/blog/making-content-from-discoverable-servers-easier-to-discover) — Discord
- [Anthropic illegally trained Claude with Stanford professors' books](https://stanforddaily.com/2026/10/27/professors-books-pirated-to-train-claude/) — The Stanford Daily