Tailscaleove Tailworm zakrpe, Mac git i eMudhra certifikati, promjena Discordovog web pretraživanja i tužbe autora protiv Anthropic: četiri priče za razvojne programere u jednom Daily Diffu

Što ovaj video pokriva

• Tailscale (blog post, 28. listopada 2026.) kaže da je izvješće Tailworm, koje je objavila istraživačica Erica Windisch iz Cyberdione Labs, primio u subotu ujutro, 24. listopada, i da ga je istraživač objavio dva sata kasnije. Testirane verzije bile su Tailscale 1.104.2 i headscale 0.29.5. Tailscaleovi popravci su u verziji 1.104.4, s četiri sigurnosna biltena numerirana od TS-2026-014 do TS-2026-017.
• Tailscaleov bilten o prosljeđivanju SSH Unix socketa kaže da je SSH poslužitelj u tailscaled procesu s root privilegijama leksički validirao putanje socketa, ali je operacije izvršavao kao root, što je omogućilo privilegirana biranja kroz lokalno prosljeđivanje, brisanje socketa u vlasništvu roota kroz udaljeno prosljeđivanje i utrku gdje kernel ponovno rješava putanju nakon provjere. Dostupne mete uključivale su Docker socket i tailscaled lokalni API. Tailscale sada prosljeđuje sockete kao autenticirani korisnik. Dok se ne ažurira, postavljanje dokumentirane varijable okoline TS_SSH_DISABLE_FORWARDING na 1 onemogućuje prosljeđivanje bez onemogućavanja Tailscale SSH-a.
• Tailscale kaže da je za iskorištavanje potrebno postojeće uporište na ovlaštenom uređaju u tailnetu, s SSH pristupom i prosljeđivanjem dopuštenim politikom, te da je putanja bočno kretanje ograničeno na veze koje politika dopušta, i ne opisuje samoreplicirajući crv. Stranica istraživača kaže da su mane pronađene s malo truda.
• Web stranica istraživača koju vodi Dennis Jackson s doprinositeljima iz zajednice kaže da je Apple obaviješten o incidentu s eMudhra posredničkim certifikatom 17. listopada i da, od 28. listopada, git, curl i python3 isporučeni s macOS-om još uvijek prihvaćaju kompromitirane certifikate; također kaže da macOS 27.2, objavljen 26. listopada, nije riješio problem i poništio je ručna zaobilazna rješenja. Appleova stranica za podršku potvrđuje podjelu: od 19. listopada Safari, Mail i aplikacije na Appleovim okvirima blokiraju certifikate, dok ih alati kao što su curl, git, python3, ruby, perl i openssl koji provjeravaju /etc/ssl/cert.pem još uvijek mogu prihvatiti do budućeg ažuriranja. Appleova stranica daje opcionalne ručne korake i upozorava da ažuriranje može zamijeniti datoteku.
• Discordov blog post (27. listopada 2026.) kaže da će svi Discoverable Serveri, koji trebaju najmanje 1.000 članova i broje više od 63.000, imati javnu web stranicu poslužitelja od 16. studenog 2026., s automatiziranim sažetcima kanala koji mogu početi istog dana. Od sredine prosinca 2026. poruke iz javnih kanala dopuštenih od strane administratora mogu se pojaviti na web stranicama poslužitelja i u web pretraživanju bez korisničkih imena ili avatara. Ako administratori ništa ne promijene, javni kanali ostaju uključeni. Administratorske kontrole (Postavke poslužitelja, Web prisutnost) i prekidač za članove (Korisničke postavke, Podaci i privatnost) dostupni su sada; postavka za članove je isključena po zadanoj vrijednosti u EU, UK, Kanadi, Brazilu, Australiji i Južnoj Koreji, a računi tinejdžera su isključeni.
• Stanford Daily (27. listopada 2026.) izvještava da su se profesori, uključujući Tobiasa Wolffa, odrekli nagodbe Bartz v. Anthropic od 1,5 milijardi dolara, koja pokriva gotovo 500.000 registriranih djela po otprilike 3.000 dolara po djelu, i tuže Anthropic zasebno, tražeći suđenje s porotom, zakonsku odštetu do 150.000 dolara po djelu i zabranu obuke na njihovim knjigama. Članak sažima raniju presudu suca Williama Alsupa kao pronalaženje obuke na legalno stečenim knjigama poštenom upotrebom, a izgradnju stalne knjižnice iz piratskih kopija ne. Nove tužbe su optužbe; nije pronađena nikakva presuda o njihovim tvrdnjama.

Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

Hladno otvaranje: Tailscale SSH sesija i root-only socketi

0:00 Tailscale SSH prijava vas drži unutar vašeg vlastitog korisničkog računa. Izvješće objavljeno u subotu opisuje sesije koje dosežu sockete samo root treba dirati, a Tailscale je isporučio zakrpe ovaj tjedan. U ovom videu, četiri priče. Što je Tailscale SSH sesija mogla doseći? Zašto git na Macu još uvijek vjeruje opozvanim certifikatima? Što se mijenja za javne Discord poslužitelje šesnaestog studenog? I što autori tvrde u svojim tužbama protiv Anthropic?

0:27 Postoji i razlog zašto Tailscale odbacuje naziv tog izvješća. Sačuvat ću ga za kraj. Srijeda je, dvadeset osmi listopad, i ovo je The Daily Diff. Tailscale povezuje vaše strojeve u jednu privatnu mrežu, a Tailscale SSH je njegov ugrađeni SSH poslužitelj, koji provjerava vašu Tailscale identitet umjesto datoteke ključa. Radi unutar procesa s root privilegijama. Zamislite portira koji također drži glavni ključ.

Priča prva: što je Tailscale SSH sesija mogla doseći

0:50 Priča prva. Sigurnosna istraživačica Erica Windisch testirala je Tailscale 1.104.2 tri dana i objavila izvješće nazvano Tailworm. Tailscale kaže da je izvješće do njega stiglo u subotu ujutro, a istraživač ga je objavio dva sata kasnije. Glavno otkriće je prosljeđivanje socketa. Tailscaleov vlastiti bilten kaže da njegov SSH poslužitelj radi kao root, provjerava putanje socketa prema njihovom tekstu, a zatim obavlja posao kao root. To je dalo tri rute: vezu s root-only socketom,

1:16 udaljeno prosljeđivanje koje briše socket u vlasništvu roota, i utrku gdje kernel ponovno rješava putanju nakon provjere. Tailscale kaže da napadač treba uporište na uređaju koji je već u tailnetu, s SSH i prosljeđivanjem dopuštenim politikom. Popravak je verzija 1.104.4, a prosljeđivanje sada radi kao prijavljeni korisnik. Ako danas ne možete ažurirati, bilten dokumentira postavku usluge koja isključuje

1:42 prosljeđivanje. Priča druga.

Priča druga: zašto git na Macu još uvijek vjeruje eMudhra

1:44 Prošle srijede sam pokrio eMudhra certifikat ključeve, i rekao sam da povjerenje implementiranog klijenta još treba provjeriti. Više od tjedan dana nakon što je Apple obaviješten, web stranica istraživača koju vodi Dennis Jackson kaže da git, curl i python na Macu još uvijek prihvaćaju certifikate iz tih intermedijara. Appleova vlastita stranica za podršku opisuje podjelu. Safari, Mail i aplikacije na Appleovim mrežnim okvirima blokiraju certifikate, i to od devetnaestog listopada.

2:08 Ali alati naredbenog retka kao što su curl, git i python čitaju datoteku certifikata u sistemskoj mapi, i preskaču Appleov blok do budućeg ažuriranja. Web stranica istraživača dodaje da macOS 27.2, objavljen u ponedjeljak, nije riješio problem i poništio je ručno zaobilazno rješenje. Appleova stranica kaže da ažuriranje može zamijeniti tu datoteku, i nisam pronašao datum za popravak. Tailscaleov bilten o tim ključevima, od dvadeset prvog listopada, objašnjava da njegov klijent vjeruje svemu čemu vjeruje sistemska pohrana.

2:38 Ako gradite na Macu ili pokrećete Mac CI pokretače, pokrenite provjeru istraživača protiv vašeg vlastitog git-a, a zatim slijedite Appleove korake, koji uklanjaju do dva root certifikata iz te datoteke. Apple upozorava da to može prekinuti neke stranice, a ažuriranje to može poništiti, pa ponovno provjerite nakon svakog ažuriranja.

Priča treća: Discord prebacuje javne poslužitelje u web pretraživanje

2:54 Priča treća. U utorak je Discord objavio da će rasprave u Discoverable Serverima postati lakše pronaći u web pretraživanju. To su njegovi najjavniji poslužitelji, s najmanje tisuću članova, a Discord ih broji više od šezdeset tri tisuće. Ovdje su datumi. Kontrole za administratore i članove počele su se uvoditi u utorak. Šesnaestog studenog svaki Discoverable Server dobiva javnu web stranicu, a automatski sažeci kanala mogu se početi pojavljivati na njoj.

3:18 Od sredine prosinca, poruke iz javnih kanala također se mogu prikazati u web pretraživanju, bez korisničkih imena ili avatara, ako to dopuštaju administratori poslužitelja. Zadane postavke su važne. Ako administrator ništa ne promijeni, javni kanali ostaju uključeni. Članovi dobivaju prekidač u postavkama podataka i privatnosti. Uključen je na većini mjesta i isključen po zadanoj vrijednosti u šest, uključujući Europsku uniju i Ujedinjeno Kraljevstvo. Računi tinejdžera su isključeni, a poruke od prije sredine prosinca se ne računaju.

3:48 Dva detalja za praćenje. Prekidač za članove pokriva poruke, dok se sažeci kanala generiraju zasebno i ostaju uključeni osim ako ih administrator ne isključi. I poruka poslana dok je prekidač bio uključen ostaje objavljena osim ako je ne izbrišete. Ako vodite zajednicu, otvorite Web prisutnost u postavkama poslužitelja prije šesnaestog studenog. Priča četvrta, i držat ću se onoga što je dokumentirano.

Priča četvrta: autori, Claude i druga tužba

4:08 Dvadeset šestog listopada pokrio sam Anthropicovu prijavu, koja navodi nagodbu od 1,5 milijardi dolara s autorima. Stanford Daily izvještava da su se profesori, uključujući Tobiasa Wolffa, odrekli te nagodbe i tuže se zasebno. Prema Dailyju, nagodba iznosi oko tri tisuće dolara po djelu, za gotovo petsto tisuća djela. Tužba za odustajanje traži od porote zakonsku odštetu do sto pedeset tisuća dolara po djelu, pedeset puta više, plus nalog protiv obuke na

4:37 knjigama tužitelja. Presuda ispod je uža od naslova. Sudac Alsup je utvrdio da je obuka na legalno stečenim knjigama bila poštena upotreba, i da izgradnja stalne knjižnice iz piratskih kopija nije. Nove tužbe navode piratske kopije, i nisam pronašao nikakvu presudu o njihovim tvrdnjama. U rujnu su OpenAI LibGen datoteke postavile isto pitanje o drugom laboratoriju. Ako sastavljate podatke za obuku, vodite evidenciju o tome odakle je svaka datoteka došla. Presuda je razdvojila legalno stečene knjige od piratskih kopija,

5:07 pa je izvor kopija pitanje koje će vam biti postavljeno. Natrag na ime. Tailscale kaže da se ništa u izvješću ne širi samo od sebe. Putanju naziva lateralnim kretanjem, ograničenim na veze koje tailnet politika već dopušta, i samo s uređaja koji napadač već posjeduje. Stranica istraživača odgovara da su mane pronađene s malo truda. Oboje može biti istina, a popravak je ionako objavljen. Ako biste ovo radije pročitali nego čuli, diff vam stiže u inbox

5:31 svako jutro, besplatno na the daily diff dot dev, poveznica ispod. Dakle, današnja presuda je POTREBNA PROVJERA.

Presuda: POTREBNA PROVJERA

5:37 Pregledao bih je jer je Tailscaleov popravak objavljen, ali vaši poslužitelji još nisu ažurirani, Appleov jaz u naredbenom retku je još uvijek otvoren, Discordove zadane postavke se uključuju šesnaestog studenog, a tvrdnje autora su još uvijek optužbe. I to je diff za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

Izvori

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily