Mga pag-aayos ng Tailworm ng Tailscale, Mac git at mga sertipiko ng eMudhra, pagbabago sa web search ng Discord at mga kaso ng mga may-akda laban sa Anthropic: apat na kuwento ng developer sa isang Daily Diff

Ang sakop ng video na ito

• Sinabi ng Tailscale (blog post, Oktubre 28, 2026) na natanggap nito ang ulat ng Tailworm, na inilathala ng mananaliksik na si Erica Windisch ng Cyberdione Labs, noong umaga ng Sabado, Oktubre 24, at inilathala ito ng mananaliksik dalawang oras pagkaraan. Ang mga bersyon na sinubukan ay Tailscale 1.104.2 at headscale 0.29.5. Ang mga pag-aayos ng Tailscale ay nasa bersyon 1.104.4, na may apat na security bulletin na may bilang na TS-2026-014 hanggang TS-2026-017.
• Ang bulletin ng Tailscale sa SSH Unix socket forwarding ay nagsasaad na ang SSH server sa root-privileged tailscaled process ay nag-validate ng mga socket path nang lexically ngunit isinagawa ang mga operasyon bilang root, na nagpapahintulot sa mga privileged dial sa pamamagitan ng local forwarding, pagtanggal ng mga root-owned socket sa pamamagitan ng remote forwarding, at isang race kung saan muling nalulutas ng kernel ang path pagkatapos ng pagsusuri. Kasama sa mga reachable target ang Docker socket at ang tailscaled local API. Ngayon, ipinapasa ng Tailscale ang mga socket bilang ang authenticated user. Hanggang sa ma-update, ang pagtatakda ng dokumentadong TS_SSH_DISABLE_FORWARDING environment variable sa 1 ay nagdi-disable ng forwarding nang hindi nagdi-disable ng Tailscale SSH.
• Sinasabi ng Tailscale na ang pagsasamantala ay nangangailangan ng umiiral na foothold sa isang awtorisadong device sa tailnet, na may pinahihintulutang SSH access at forwarding ng patakaran, at na ang path ay lateral movement na limitado sa mga koneksyon na pinahihintulutan ng patakaran, at hindi naglalarawan ng self-replicating worm. Sinasabi ng pahina ng mananaliksik na ang mga kapintasan ay natagpuan nang may kaunting pagsisikap.
• Sinasabi ng isang researcher site na pinapatakbo ni Dennis Jackson na may mga community contributor na inabisuhan ang Apple tungkol sa insidente ng eMudhra intermediate certificate noong Oktubre 17 at na, simula Oktubre 28, ang git, curl at python3 na kasama ng macOS ay tumatanggap pa rin ng mga nakompromisong sertipiko; sinasabi rin nito na hindi naayos ng macOS 27.2, na inilabas noong Oktubre 26, ang isyu at binalewala ang mga manual workaround. Kinukumpirma ng pahina ng suporta ng Apple ang paghihiwalay: simula Oktubre 19, hinaharangan ng Safari, Mail at mga app sa mga framework ng Apple ang mga sertipiko, habang ang mga tool tulad ng curl, git, python3, ruby, perl at openssl na sumusuri sa /etc/ssl/cert.pem ay maaari pa ring tanggapin ang mga ito hanggang sa susunod na update. Nagbibigay ang pahina ng Apple ng mga opsyonal na manual na hakbang at nagbabala na maaaring palitan ng isang update ang file.
• Sinasabi ng blog post ng Discord (Oktubre 27, 2026) na lahat ng Discoverable Servers, na nangangailangan ng hindi bababa sa 1,000 miyembro at may bilang na higit sa 63,000, ay magkakaroon ng pampublikong Server Web Page mula Nobyembre 16, 2026, na may automated Channel Summaries na maaaring magsimula sa parehong araw. Mula kalagitnaan ng Disyembre 2026, ang mga mensahe mula sa mga pampublikong channel na pinahihintulutan ng admin ay maaaring lumabas sa Server Web Pages at sa web search nang walang mga username o avatar. Kung walang binago ang mga admin, mananatili ang mga pampublikong channel. Ang mga kontrol ng admin (Server Settings, Web Presence) at ang switch ng miyembro (User Settings, Data and Privacy) ay magagamit na ngayon; ang setting ng miyembro ay naka-off bilang default sa EU, UK, Canada, Brazil, Australia at South Korea, at hindi kasama ang mga account ng tinedyer.
• Iniulat ng The Stanford Daily (Oktubre 27, 2026) na ang mga propesor kabilang si Tobias Wolff ay hindi kasama sa $1.5 bilyong Bartz v. Anthropic settlement, na sumasaklaw sa halos 500,000 rehistradong gawa sa humigit-kumulang $3,000 bawat gawa, at hiwalay na nagdemanda sa Anthropic, naghahangad ng jury trial, statutory damages na hanggang $150,000 bawat gawa at isang injunction laban sa pagsasanay sa kanilang mga libro. Ibuod ng artikulo ang naunang desisyon ni Judge William Alsup na ang pagsasanay sa mga legal na nakuha na libro ay "fair use" at ang pagbuo ng permanenteng library mula sa mga pirated na kopya ay hindi. Ang mga bagong kaso ay alegasyon; walang natagpuang desisyon sa kanilang mga claim.

Isinaling transcript

Isinalin mula sa orihinal na salaysay sa English. Ang available na audio at mga caption ay kinokontrol ng YouTube.

Malamig na pagbubukas: isang Tailscale SSH session at ang mga root-only na socket

0:00 Ang isang Tailscale SSH login ay nagpapanatili sa iyo sa loob ng sarili mong user account. Inilalarawan ng isang ulat na inilabas noong Sabado ang mga session na umaabot sa mga socket na tanging root lamang ang dapat hawakan, at naglabas ng mga pag-aayos ang Tailscale ngayong linggo. Sa video na ito, apat na kuwento. Ano ang kayang abutin ng isang Tailscale SSH session? Bakit pinagkakatiwalaan pa rin ng git sa isang Mac ang mga binawing sertipiko? Ano ang mga pagbabago para sa mga pampublikong server ng Discord sa Nobyembre disi-sais? At ano ang inaangkin ng mga may-akda sa kanilang mga demanda laban sa Anthropic?

0:27 Mayroon ding dahilan kung bakit tinanggihan ng Tailscale ang pangalan ng ulat na iyon. Ipapaalam ko ito sa huli. Miyerkules, Oktubre beinte otso, at ito ang The Daily Diff. Pinag-uugnay ng Tailscale ang iyong mga makina sa isang pribadong network, at ang Tailscale SSH ay ang built-in nitong SSH server, na sumusuri sa iyong Tailscale identity sa halip na isang key file. Tumatakbo ito sa loob ng isang proseso na may mga pribilehiyo ng root. Isipin ang isang doorman na may hawak din ng master key.

Unang kuwento: ano ang kayang abutin ng isang Tailscale SSH session

0:50 Kuwento isa. Sinubukan ng security researcher na si Erica Windisch ang Tailscale one point one oh four point two sa loob ng tatlong araw at naglathala ng isang ulat na tinatawag na Tailworm. Sinasabi ng Tailscale na ang ulat ay nakarating sa kanila noong Sabado ng umaga, at inilathala ito ng mananaliksik dalawang oras pagkaraan. Ang pangunahing natuklasan ay ang socket forwarding. Sinasabi ng sariling bulletin ng Tailscale na ang SSH server nito ay tumatakbo bilang root, sinusuri ang mga path ng socket ayon sa kanilang text, at pagkatapos ay ginawa ang trabaho bilang root. Nagbigay iyon ng tatlong ruta: isang koneksyon sa isang root-only na socket,

1:16 isang remote forward na nagtatanggal ng isang root-owned na socket, at isang race kung saan ang kernel muling nilulutas ang path pagkatapos ng pagsusuri. Sinasabi ng Tailscale na kailangan ng isang attacker ng isang foothold sa isang device na nasa tailnet na, na may pinahihintulutang SSH at forwarding ng patakaran. Ang fix ay bersyon one point one oh four point four, at ang forwarding ay tumatakbo na ngayon bilang ang nakalog-in na user. Kung hindi mo ma-update ngayon, idokumento ng bulletin ang isang setting ng serbisyo na nag-o-off

1:42 sa forwarding. Kuwento dalawa.

Ikalawang kuwento: bakit pinagkakatiwalaan pa rin ng git sa isang Mac ang eMudhra

1:44 Noong nakaraang Miyerkules, tinalakay ko ang mga eMudhra certificate key, at sinabi ko na kailangan pa ring suriin ang tiwala ng deployed client. Mahigit isang linggo matapos sabihin sa Apple, isang researcher site na pinapatakbo ni Dennis Jackson ay nagsasabi na ang git, curl at python sa isang Mac ay tumatanggap pa rin ng mga sertipiko mula sa mga intermediates na iyon. Inilalarawan ng sariling pahina ng suporta ng Apple ang paghihiwalay. Safari, Mail at mga app sa Hinaharangan ng mga networking framework ng Apple ang mga sertipiko, at ginagawa ito simula noong Oktubre disi-nuebe.

2:08 Ngunit ang mga command line tool tulad ng curl, git at python ay nagbabasa ng isang file ng sertipiko sa ang system folder, at nilalaktawan nila ang block ng Apple hanggang sa susunod na update. Idinagdag ng researcher site na ang macOS twenty seven point two, na inilabas noong Lunes, ay hindi ito naayos at binalewala ang manual na workaround. Sinasabi ng pahina ng Apple na maaaring palitan ng isang update ang file na iyon, at wala akong nakitang petsa para sa pag-aayos. Ang bulletin ng Tailscale sa mga key na ito, mula Oktubre beinte uno, ipinaliwanag na ang client nito ay nagtitiwala sa anumang pinagkakatiwalaan ng system store.

2:38 Kung bumuo ka sa isang Mac o magpatakbo ng Mac CI runners, patakbuhin ang pagsusuri ng mga mananaliksik laban sa sarili mong git, pagkatapos ay sundin ang mga hakbang ng Apple, na nagtatanggal ng hanggang dalawang root certificate mula sa file na iyon. Nagbabala ang Apple na maaaring masira nito ang ilang site, at maaaring balewalain ito ng isang update, kaya suriin muli pagkatapos ng bawat update.

Ikatlong kuwento: Inilipat ng Discord ang mga pampublikong server sa web search

2:54 Kuwento tatlo. Noong Martes, inihayag ng Discord na ang mga talakayan sa Discoverable Ang mga server ay magiging mas madaling makita sa web search. Iyon ang pinakapampublikong server nito, na may hindi bababa sa isang libong miyembro, at binibilang ng Discord ang mahigit animnapu't tatlong libo sa mga ito. Narito ang mga petsa. Nagsimulang maglabas ang mga kontrol ng admin at miyembro noong Martes. Sa Nobyembre disi-sais, ang bawat Discoverable Server ay makakakuha ng pampublikong web page, at maaaring magsimulang lumabas ang mga awtomatikong buod ng channel dito.

3:18 Mula kalagitnaan ng Disyembre, ang mga mensahe mula sa mga pampublikong channel ay maaari ring lumabas sa web search, nang walang mga username o avatar, kung pinahihintulutan ito ng mga admin ng server. Mahalaga ang mga default. Kung walang binago ang isang admin, mananatili ang mga pampublikong channel. Nakakakuha ang mga miyembro ng switch sa mga setting ng Data at Privacy. Nagsisimula itong on sa karamihan ng mga lugar at off bilang default sa anim, kabilang ang European Union at United Kingdom. Hindi kasama ang mga account ng tinedyer, at hindi binibilang ang mga mensahe mula bago kalagitnaan ng Disyembre.

3:48 Dalawang detalye na dapat panoorin. Ang switch ng miyembro ay sumasaklaw sa mga mensahe, habang ang mga buod ng channel ay nabuo hiwalay at mananatiling naka-on maliban kung i-off ito ng isang admin. At ang isang mensahe na ipinadala habang naka-on ang switch ay mananatiling online maliban kung tanggalin mo ito. Kung nagpapatakbo ka ng isang komunidad, buksan ang Web Presence sa mga setting ng server bago ang Nobyembre disi-sais. Kuwarto apat, at mananatili ako sa kung ano ang dokumentado.

Ikaapat na kuwento: mga may-akda, Claude at isang ikalawang demanda

4:08 Noong Oktubre beinte sais, tinalakay ko ang paghahain ng Anthropic, na naglilista ng one point five bilyong dolyar na settlement sa mga may-akda. Iniulat ng The Stanford Daily na ang mga propesor kabilang si Tobias Wolff ay hindi kasama sa settlement na iyon at hiwalay na nagdemanda. Ayon sa Daily, ang settlement ay umaabot sa humigit-kumulang tatlong libong dolyar bawat gawa, sa halos limang daang libong gawa. Ang opt-out suit ay humihingi ng hurado para sa statutory damages na hanggang one hundred fifty libong dolyar bawat gawa, limampung beses pa, kasama ang isang utos laban sa pagsasanay sa

4:37 mga libro ng mga plaintiff. Ang desisyon sa ilalim ay mas makitid kaysa sa headline. Natuklasan ni Judge Alsup na ang pagsasanay sa mga legal na nakuha na libro ay fair use, at ang pagbuo ng isang permanenteng library mula sa mga pirated na kopya ay hindi. Ang mga bagong demanda ay nag-aakusa ng mga pirated na kopya, at wala akong nakitang desisyon sa kanilang mga claim. Noong Setyembre, ang mga file ng OpenAI LibGen ay nagtaas ng parehong tanong tungkol sa isa pang lab. Kung mag-a-assemble ka ng data ng pagsasanay, panatilihin ang rekord kung saan nagmula ang bawat file. Pinaghiwalay ng desisyon ang mga legal na nakuha na libro mula sa mga pirated na kopya,

5:07 kaya ang pinagmulan ng mga kopya ang tanong na itatanong sa iyo. Bumalik sa pangalan. Sinasabi ng Tailscale na walang anumang sa ulat ang kumakalat nang mag-isa. Tinatawag nitong lateral movement ang landas, na limitado sa mga koneksyon na pinahihintulutan na ng patakaran ng tailnet, at tanging mula sa isang device na hawak na ng attacker. Sumagot ang pahina ng mananaliksik na ang mga kapintasan ay natagpuan nang may kaunting pagsisikap. Parehong maaaring totoo, at ang solusyon ay lumabas sa anumang paraan. Kung mas gusto mong basahin ito kaysa pakinggan ako, dumarating ang diff sa iyong inbox

5:31 tuwing umaga, libre sa the daily diff dot dev, link sa ibaba. Kaya ang hatol ngayon ay KAILANGAN NG REBYU.

Hatol: KAILANGAN NG REBYU

5:37 I-rereview ko ito dahil lumabas na ang pag-aayos ng Tailscale ngunit hindi pa na-a-update ang iyong mga server gayunpaman, bukas pa rin ang command line gap ng Apple, on ang mga default ng Discord sa Nobyembre disi-sais, at alegasyon pa rin ang mga claim ng mga may-akda. At iyan ang diff para sa araw na ito. Ako si Niko mula sa Axrisi. Mag-merge nang may pananagutan.

Mga Pinagmulan

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily