Correccións de Tailworm de Tailscale, git en Mac e os certificados eMudhra, cambio na busca web de Discord e as demandas dos autores contra Anthropic: catro historias de desenvolvedores nun Daily Diff

Que abrangue este vídeo

• Tailscale (publicación do blog, 28 de outubro de 2026) di que recibiu o informe Tailworm, publicado pola investigadora Erica Windisch de Cyberdione Labs, na mañá do sábado 24 de outubro, e que a investigadora o publicou dúas horas despois. As versións probadas foron Tailscale 1.104.2 e headscale 0.29.5. As correccións de Tailscale están na versión 1.104.4, con catro boletíns de seguridade numerados de TS-2026-014 a TS-2026-017.
• O boletín de Tailscale sobre o reenvío de "socket" Unix de SSH di que o servidor SSH no proceso tailscaled con privilexios de "root" validaba as rutas dos "sockets" léxicamente pero realizaba as operacións como "root", o que permitía "dials" privilexiados a través do reenvío local, a eliminación de "sockets" propiedade de "root" a través do reenvío remoto e unha "race condition" onde o kernel "re-resolve" a ruta despois da comprobación. Os obxectivos alcanzables incluían o "socket" de Docker e a API local de tailscaled. Tailscale agora reenvía os "sockets" como o usuario autenticado. Ata a actualización, establecer a variable de ambiente documentada TS_SSH_DISABLE_FORWARDING en 1 desactiva o reenvío sen deshabilitar Tailscale SSH.
• Tailscale di que a explotación require unha "foothold" existente nun dispositivo autorizado na "tailnet", con acceso SSH e reenvío permitidos pola política, e que a ruta é un movemento lateral limitado ás conexións que a política permite, e non describe un verme autorreplicable. A páxina do investigador di que os fallos foron atopados con pouco esforzo.
• Un sitio de investigación dirixido por Dennis Jackson con colaboradores da comunidade di que Apple foi notificada do incidente do certificado intermediario eMudhra o 17 de outubro e que, a partir do 28 de outubro, git, curl e python3 incluídos en macOS aínda aceptan os certificados comprometidos; tamén di que macOS 27.2, lanzado o 26 de outubro, non solucionou o problema e desfixo as "workarounds" manuais. A páxina de soporte de Apple confirma a división: desde o 19 de outubro Safari, Mail e as aplicacións nos "frameworks" de Apple bloquean os certificados, mentres que ferramentas como curl, git, python3, ruby, perl e openssl que comproban /etc/ssl/cert.pem aínda poden aceptalos ata unha futura actualización. A páxina de Apple ofrece pasos manuais opcionais e advirte que unha actualización pode substituír o ficheiro.
• A publicación do blog de Discord (27 de outubro de 2026) di que todos os "Discoverable Servers", que necesitan polo menos 1.000 membros e suman máis de 63.000, terán unha "Server Web Page" pública a partir do 16 de novembro de 2026, con "Channel Summaries" automatizados que poderán comezar o mesmo día. A partir de mediados de decembro de 2026, as mensaxes de canles públicos permitidas polos administradores poderán aparecer en "Server Web Pages" e na busca web sen nomes de usuario nin avatares. Se os administradores non cambian nada, as canles públicas permanecen activas. Os controis de administrador (Configuración do servidor, Presenza web) e o interruptor de membro (Configuración de usuario, Datos e privacidade) están dispoñibles agora; a configuración de membro está desactivada por defecto na UE, Reino Unido, Canadá, Brasil, Australia e Corea do Sur, e as contas de adolescentes están excluídas.
• O Stanford Daily (27 de outubro de 2026) informa de que profesores como Tobias Wolff optaron por non participar no acordo de 1.500 millóns de dólares de Bartz v. Anthropic, que abarca case 500.000 obras rexistradas a aproximadamente 3.000 dólares por obra, e están a demandar a Anthropic por separado, solicitando un xuízo con xurado, danos estatutarios de ata 150.000 dólares por obra e unha orde xudicial contra o adestramento cos seus libros. O artigo resume a sentenza anterior do xuíz William Alsup como que atopou o adestramento en libros legalmente adquiridos como "fair use" e a construción dunha biblioteca permanente a partir de copias pirateadas non o era. As novas demandas son alegacións; non se atopou ningunha sentenza sobre as súas reclamacións.

Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

Comezo frío: unha sesión SSH de Tailscale e os "sockets" só para "root"

0:00 Un inicio de sesión SSH de Tailscale manténche dentro da túa propia conta de usuario. Un informe publicado o sábado describe sesións que chegan a "sockets" só "root" debería tocar, e Tailscale enviou as correccións esta semana. Neste vídeo, catro historias. Que podía alcanzar unha sesión SSH de Tailscale? Por que git nun Mac aínda confía en certificados revogados? Que cambia para os servidores públicos de Discord o dezaseis de novembro? E que alegan os autores nas súas demandas contra Anthropic?

0:27 Tamén hai unha razón pola que Tailscale se opón ao nome dese informe. Gardareino para o final. É mércores, vinte e oito de outubro, e este é The Daily Diff. Tailscale conecta as túas máquinas nunha rede privada, e Tailscale SSH é o seu servidor SSH incorporado, que comproba a túa identidade de Tailscale en lugar dun ficheiro de clave. Execútase dentro dun proceso con privilexios de "root". Pensa nun porteiro que tamén ten a chave mestra.

Primeira historia: o que podía alcanzar unha sesión SSH de Tailscale

0:50 Primeira historia. A investigadora de seguridade Erica Windisch probou Tailscale 1.104.2 durante tres días e publicou un informe chamado Tailworm. Tailscale di que o informe lle chegou o sábado pola mañá, e a investigadora publicouno dúas horas despois. O principal descubrimento é o reenvío de "sockets". O propio boletín de Tailscale di que o seu servidor SSH execútase como "root", comprobaba as rutas dos "sockets" polo seu texto, e despois facía o traballo como "root". Isto deu tres rutas: unha conexión a un "socket" só para "root",

1:16 un reenvío remoto que elimina un "socket" propiedade de "root", e unha "race condition" onde o kernel "re-resolve" a ruta de novo despois da comprobación. Tailscale di que un atacante necesita unha "foothold" nun dispositivo que xa estea na "tailnet", con SSH e reenvío ambos permitidos pola política. A corrección é a versión 1.104.4, e o reenvío agora execútase como o usuario que iniciou sesión. Se non podes actualizar hoxe, o boletín documenta unha configuración de servizo que desactiva

1:42 o reenvío. Segunda historia.

Segunda historia: por que git nun Mac aínda confía en eMudhra

1:44 O mércores pasado cubrín as claves de certificado eMudhra, e dixen que a confianza do cliente despregado aínda necesitaba ser comprobada. Máis dunha semana despois de que se lle informase a Apple, un sitio de investigación dirixido por Dennis Jackson di que git, curl e python nun Mac aínda aceptan certificados deses intermediarios. A propia páxina de soporte de Apple describe a división. Safari, Mail e as aplicacións nos "frameworks" de rede de Apple bloquean os certificados, e fano desde o dezanove de outubro.

2:08 Pero as ferramentas de liña de comandos como curl, git e python len un ficheiro de certificado no cartafol do sistema, e ignoran o bloqueo de Apple ata unha futura actualización. O sitio do investigador engade que macOS 27.2, lanzado o luns, non o corrixiu e desfixo a solución manual. A páxina de Apple si di que unha actualización pode substituír ese ficheiro, e non atopei data para a corrección. O boletín de Tailscale sobre estas claves, do vinte e un de outubro, explica que o seu cliente confía no que confía o almacén do sistema.

2:38 Se compilas nun Mac ou executas "runners" de CI de Mac, executa a comprobación dos investigadores contra o teu propio git, despois segue os pasos de Apple, que eliminan ata dous certificados raíz dese ficheiro. Apple advirte que iso pode romper algúns sitios, e unha actualización pode desfacelo, así que comprobe de novo despois de cada actualización.

Terceira historia: Discord move os servidores públicos á busca web

2:54 Terceira historia. O martes Discord anunciou que as discusións en "Discoverable Servers" serán máis fáciles de atopar na busca web. Son os seus servidores máis públicos, con polo menos mil membros, e Discord conta con máis de sesenta e tres mil deles. Aquí están as datas. Os controis de administrador e membro comezaron a implementarse o martes. O dezaseis de novembro, cada "Discoverable Server" obtén unha páxina web pública, e os resumos automáticos de canles poden comezar a aparecer nela.

3:18 A partir de mediados de decembro, as mensaxes das canles públicas tamén poden aparecer na busca web, sen nomes de usuario nin avatares, se os administradores do servidor o permiten. Os valores predeterminados importan. Se un administrador non cambia nada, as canles públicas permanecen activas. Os membros teñen un interruptor na configuración de Datos e Privacidade. Comeza activado na maioría dos lugares e desactivado por defecto en seis, incluíndo a Unión Europea e o Reino Unido. Exclúense as contas de adolescentes, e as mensaxes de antes de mediados de decembro non contan.

3:48 Dous detalles a ter en conta. O interruptor de membro abarca as mensaxes, mentres que os resumos de canles xéranse por separado e permanecen activados a non ser que un administrador os desactive. E unha mensaxe enviada mentres o interruptor estaba activado permanece activa a non ser que a elimines. Se dirixes unha comunidade, abre "Web Presence" na configuración do servidor antes do dezaseis de novembro. Cuarta historia, e voume ater ao que está documentado.

Cuarta historia: autores, Claude e unha segunda demanda

4:08 O vinte e seis de outubro cubrín a presentación de Anthropic, que lista un acordo de mil cincocentos millóns de dólares con autores. O Stanford Daily informa de que profesores, incluído Tobias Wolff, optaron por non participar nese acordo e están a demandar por separado. Segundo o Daily, o acordo supón uns tres mil dólares por obra, en case cincocentas mil obras. A demanda de "opt-out" pide a un xurado danos estatutarios de ata cento cincuenta mil dólares por obra, cincuenta veces máis, ademais dunha orde contra o adestramento cos libros dos

4:37 demandantes. A sentenza subxacente é máis estreita que o titular. O xuíz Alsup atopou que o adestramento en libros legalmente adquiridos era uso lexítimo, e que construír unha biblioteca permanente a partir de copias pirateadas non o era. As novas demandas alegan copias pirateadas, e non atopei ningunha sentenza sobre as súas reclamacións. En setembro, os ficheiros OpenAI LibGen plantexaron a mesma pregunta sobre outro laboratorio. Se recompilas datos de adestramento, mantén un rexistro de onde veu cada ficheiro. A sentenza separaba os libros legalmente adquiridos das copias pirateadas,

5:07 polo que a orixe das copias é a pregunta que se che fará. Volvendo ao nome. Tailscale di que nada no informe se propaga por si só. Chama á ruta "movemento lateral", limitado ás conexións que a política de "tailnet" xa permite, e só desde un dispositivo que o atacante xa posúe. A páxina do investigador responde que os fallos foron atopados con pouco esforzo. Ambas as dúas poden ser certas, e a corrección está dispoñible de calquera xeito. Se prefires ler isto que escoitarme dicilo, o "diff" chega á túa caixa de entrada

5:31 cada mañá, de forma gratuíta en thedailydiff.dev, ligazón debaixo. Así que o veredicto de hoxe é "NEEDS REVIEW".

Veredicto: REQUIRES REVISIÓN

5:37 Revisaríao porque a corrección de Tailscale está fóra pero os teus servidores aínda non están actualizados, a fenda da liña de comandos de Apple aínda está aberta, os valores predeterminados de Discord se activan o dezaseis de novembro, e as reclamacións dos autores aínda son alegacións. E ese é o "diff" de hoxe. Son Niko de Axrisi. Fusiona con responsabilidade.

Fontes

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily