Correctifs de Tailworm de Tailscale, git Mac et certificats eMudhra, changement de la recherche web de Discord et les poursuites des auteurs contre Anthropic: quatre histoires de développeurs dans un Daily Diff

Ce que couvre cette vidéo

• Tailscale (article de blog, 28 octobre 2026) déclare avoir reçu le rapport Tailworm, publié par la chercheuse Erica Windisch de Cyberdione Labs, le matin du samedi 24 octobre, et que la chercheuse l'a publié deux heures plus tard. Les versions testées étaient Tailscale 1.104.2 et headscale 0.29.5. Les correctifs de Tailscale sont dans la version 1.104.4, avec quatre bulletins de sécurité numérotés TS-2026-014 à TS-2026-017.
• Le bulletin de Tailscale sur le transfert de socket Unix SSH indique que le serveur SSH du processus tailscaled, privilégié en tant que root, validait lexicalement les chemins des sockets mais effectuait les opérations en tant que root, ce qui permettait des appels privilégiés via le transfert local, la suppression de sockets appartenant à root via le transfert distant, et une course où le noyau résout à nouveau le chemin après la vérification. Les cibles accessibles incluaient le socket Docker et l'API locale de tailscaled. Tailscale transfère désormais les sockets en tant qu'utilisateur authentifié. Jusqu'à la mise à jour, la définition de la variable d'environnement documentée TS_SSH_DISABLE_FORWARDING à 1 désactive le transfert sans désactiver Tailscale SSH.
• Tailscale indique que l'exploitation nécessite un point d'ancrage existant sur un appareil autorisé dans le tailnet, avec un accès SSH et un transfert autorisés par la politique, et que le chemin est un mouvement latéral limité aux connexions autorisées par la politique, et ne décrit pas un ver auto-réplicatif. La page du chercheur indique que les failles ont été trouvées avec peu d'effort.
• Un site de chercheur géré par Dennis Jackson avec des contributeurs de la communauté indique qu'Apple a été informé de l'incident des certificats intermédiaires eMudhra le 17 octobre et que, au 28 octobre, git, curl et python3 fournis avec macOS acceptent toujours les certificats compromis; il indique également que macOS 27.2, sorti le 26 octobre, n'a pas corrigé le problème et a annulé les solutions manuelles. La page de support d'Apple confirme la scission: depuis le 19 octobre, Safari, Mail et les applications basées sur les frameworks d'Apple bloquent les certificats, tandis que des outils comme curl, git, python3, ruby, perl et openssl qui vérifient /etc/ssl/cert.pem peuvent toujours les accepter jusqu'à une future mise à jour. La page d'Apple donne des étapes manuelles facultatives et avertit qu'une mise à jour peut remplacer le fichier.
• L'article de blog de Discord (27 octobre 2026) indique que tous les serveurs "Discoverable Servers", qui nécessitent au moins 1 000 membres et sont plus de 63 000, auront une page web publique à partir du 16 novembre 2026, avec des résumés de canaux automatisés pouvant commencer le même jour. À partir de la mi-décembre 2026, les messages des canaux publics autorisés par l'administrateur pourront apparaître sur les pages web des serveurs et dans la recherche web sans noms d'utilisateur ni avatars. Si les administrateurs ne changent rien, les canaux publics restent activés. Les contrôles d'administration (Paramètres du serveur, Présence web) et le commutateur de membre (Paramètres utilisateur, Données et confidentialité) sont disponibles dès maintenant; le paramètre de membre est désactivé par défaut dans l'UE, au Royaume-Uni, au Canada, au Brésil, en Australie et en Corée du Sud, et les comptes d'adolescents sont exclus.
• Le Stanford Daily (27 octobre 2026) rapporte que des professeurs, dont Tobias Wolff, ont refusé le règlement de 1,5 milliard de dollars Bartz v. Anthropic, qui couvre près de 500 000 œuvres enregistrées à environ 3 000 dollars par œuvre, et poursuivent Anthropic séparément, demandant un procès devant jury, des dommages-intérêts légaux pouvant aller jusqu'à 150 000 dollars par œuvre et une injonction contre la formation sur leurs livres. L'article résume la décision antérieure du juge William Alsup comme ayant conclu que la formation sur des livres légalement acquis constituait un usage équitable et que la construction d'une bibliothèque permanente à partir de copies piratées ne l'était pas. Les nouvelles poursuites sont des allégations; aucune décision sur leurs réclamations n'a été trouvée.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Ouverture: une session SSH Tailscale et les sockets réservés à l'utilisateur root

0:00 Une connexion SSH Tailscale vous garde à l'intérieur de votre propre compte utilisateur. Un rapport publié samedi décrit des sessions atteignant des sockets que seul l'utilisateur root devrait toucher, et Tailscale a expédié des correctifs cette semaine. Dans cette vidéo, quatre histoires. Qu'est-ce qu'une session SSH Tailscale pourrait atteindre? Pourquoi git sur un Mac fait-il toujours confiance aux certificats révoqués? Quels changements pour les serveurs publics Discord le seize novembre? Et que réclament les auteurs dans leurs procès contre Anthropic?

0:27 Il y a aussi une raison pour laquelle Tailscale rejette le nom de ce rapport. Je le garderai pour la fin. Nous sommes mercredi 28 octobre, et voici The Daily Diff. Tailscale relie vos machines en un seul réseau privé, et Tailscale SSH est son serveur SSH intégré, qui vérifie votre identité Tailscale au lieu d'un fichier de clé. Il s'exécute à l'intérieur d'un processus avec des privilèges root. Imaginez un portier qui détient également la clé maîtresse.

Histoire un: ce qu'une session SSH Tailscale pourrait atteindre

0:50 Histoire un. La chercheuse en sécurité Erica Windisch a testé Tailscale 1.104.2 pendant trois jours et a publié un rapport intitulé Tailworm. Tailscale déclare que le rapport lui est parvenu samedi matin, et la chercheuse l'a publié deux heures plus tard. La principale découverte est le transfert de socket. Le propre bulletin de Tailscale indique que son serveur SSH s'exécute en tant que root, vérifiait les chemins des sockets par leur texte, puis effectuait le travail en tant que root. Cela donnait trois routes: une connexion à un socket réservé à l'utilisateur root,

1:16 un transfert distant qui supprime un socket appartenant à l'utilisateur root, et une course où le noyau résout à nouveau le chemin après la vérification. Tailscale dit qu'un attaquant a besoin d'un point d'ancrage sur un appareil déjà dans le tailnet, avec SSH et le transfert tous deux autorisés par la politique. Le correctif est la version 1.104.4, et le transfert s'exécute maintenant en tant qu'utilisateur connecté. Si vous ne pouvez pas mettre à jour aujourd'hui, le bulletin documente un paramètre de service qui désactive

1:42 le transfert. Histoire deux.

Histoire deux: pourquoi git sur un Mac fait toujours confiance à eMudhra

1:44 Mercredi dernier, j'ai couvert les clés de certificat eMudhra, et j'ai dit que la confiance du client déployé nécessitait toujours une vérification. Plus d'une semaine après qu'Apple ait été informé, un site de chercheur géré par Dennis Jackson affirme que git, curl et python sur un Mac acceptent toujours les certificats de ces intermédiaires. La propre page de support d'Apple décrit la scission. Safari, Mail et les applications sur les frameworks réseau d'Apple bloquent les certificats, et ce, depuis le 19 octobre.

2:08 Mais les outils de ligne de commande tels que curl, git et python lisent un fichier de certificat dans le dossier système, et ils ignorent le blocage d'Apple jusqu'à une future mise à jour. Le site du chercheur ajoute que macOS 27.2, publié lundi, n'a pas corrigé le problème et a annulé la solution manuelle. La page d'Apple indique qu'une mise à jour peut remplacer ce fichier, et je n'ai trouvé aucune date pour le correctif. Le bulletin de Tailscale sur ces clés, du 21 octobre, explique que son client fait confiance à ce que le magasin système fait confiance.

2:38 Si vous développez sur un Mac ou utilisez des CI runners Mac, exécutez la vérification des chercheurs contre votre propre git, puis suivez les étapes d'Apple, qui suppriment jusqu'à deux certificats root de ce fichier. Apple avertit que cela peut casser certains sites, et une mise à jour peut l'annuler, alors vérifiez à nouveau après chaque mise à jour.

Histoire trois: Discord déplace les serveurs publics dans la recherche web

2:54 Histoire trois. Mardi, Discord a annoncé que les discussions dans les serveurs "Discoverable Servers" deviendront plus faciles à trouver dans la recherche web. Ce sont ses serveurs les plus publics, avec au moins mille membres, et Discord en compte plus de soixante-trois mille. Voici les dates. Les contrôles d'administration et de membre ont commencé à être déployés mardi. Le 16 novembre, chaque serveur "Discoverable Server" obtient une page web publique, et des résumés de canaux automatisés peuvent commencer à y apparaître.

3:18 À partir de la mi-décembre, les messages des canaux publics peuvent également apparaître dans la recherche web, sans noms d'utilisateur ni avatars, si les administrateurs du serveur l'autorisent. Les valeurs par défaut sont importantes. Si un administrateur ne change rien, les canaux publics restent activés. Les membres disposent d'un interrupteur dans les paramètres Données et confidentialité. Il est activé par défaut dans la plupart des endroits et désactivé par défaut dans six, y compris l'Union européenne et le Royaume-Uni. Les comptes d'adolescents sont exclus, et les messages d'avant la mi-décembre ne comptent pas.

3:48 Deux détails à surveiller. L'interrupteur des membres couvre les messages, tandis que les résumés des canaux sont générés séparément et restent activés à moins qu'un administrateur ne les désactive. Et un message envoyé lorsque l'interrupteur était activé reste en ligne à moins que vous ne le supprimiez. Si vous gérez une communauté, ouvrez "Présence web" dans les paramètres du serveur avant le seize novembre. Histoire quatre, et je m'en tiendrai à ce qui est documenté.

Histoire quatre: auteurs, Claude et une deuxième poursuite

4:08 Le 26 octobre, j'ai couvert le dossier Anthropic, qui répertorie un règlement de 1,5 milliard de dollars avec les auteurs. Le Stanford Daily rapporte que des professeurs, dont Tobias Wolff, ont refusé ce règlement et poursuivent séparément. Selon le Daily, le règlement s'élève à environ trois mille dollars par œuvre, pour près de cinq cent mille œuvres. La poursuite de non-participation demande à un jury des dommages-intérêts légaux allant jusqu'à cent cinquante mille dollars par œuvre, cinquante fois plus, plus une ordonnance interdisant la formation sur

4:37 les livres des plaignants. La décision sous-jacente est plus étroite que le titre. Le juge Alsup a estimé que la formation sur des livres légalement acquis constituait un usage équitable, et que la construction d'une bibliothèque permanente à partir de copies piratées ne l'était pas. Les nouvelles poursuites allèguent des copies piratées, et je n'ai trouvé aucune décision sur leurs réclamations. En septembre, les fichiers OpenAI LibGen ont soulevé la même question concernant un autre laboratoire. Si vous assemblez des données d'entraînement, conservez un enregistrement de l'origine de chaque fichier. La décision a séparé les livres légalement acquis des copies piratées,

5:07 donc la source des copies est la question qui vous sera posée. Revenons au nom. Tailscale dit que rien dans le rapport ne se propage seul. Il appelle le chemin un mouvement latéral, limité aux connexions que la politique tailnet autorise déjà, et uniquement à partir d'un appareil que l'attaquant possède déjà. La page du chercheur répond que les failles ont été trouvées avec peu d'effort. Les deux peuvent être vrais, et le correctif est sorti de toute façon. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception

5:31 tous les matins, gratuitement sur thedailydiff.dev, lien ci-dessous. Le verdict d'aujourd'hui est donc "NEEDS REVIEW".

Verdict: NEEDS REVIEW

5:37 Je l'examinerais parce que le correctif de Tailscale est sorti mais vos serveurs ne sont pas encore mis à jour, la faille de la ligne de commande d'Apple est toujours ouverte, les paramètres par défaut de Discord changent le seize novembre, et les allégations des auteurs sont toujours des allégations. Et c'est le "diff" pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily