Tailscale-ի Tailworm-ի շտկումները, Mac git-ը և eMudhra վկայագրերը, Discord-ի վեբ որոնման փոփոխությունը և հեղինակների հայցերը Anthropic-ի դեմ. չորս մշակողի պատմություն մեկ Daily Diff-ում

Ինչ է ընդգրկում այս տեսանյութը

• Tailscale-ը (բլոգի գրառում, 2026 թվականի հոկտեմբերի 28) հայտնում է, որ ստացել է Tailworm զեկույցը, որը հրապարակվել է Cyberdione Labs-ի հետազոտող Էրիկա Վինդիշի կողմից, հոկտեմբերի 24-ի շաբաթ օրվա առավոտյան, և որ հետազոտողն այն հրապարակել է երկու ժամ անց: Փորձարկված տարբերակներն էին Tailscale 1.104.2-ը և headscale 0.29.5-ը: Tailscale-ի շտկումները ներառված են 1.104.4 տարբերակում՝ անվտանգության չորս տեղեկագրերով, որոնք համարակալված են TS-2026-014-ից մինչև TS-2026-017:
• Tailscale-ի տեղեկագիրը SSH Unix socket-ի փոխանցման վերաբերյալ ասում է, որ արմատական իրավունքներով tailscaled գործընթացում SSH սերվերը ստուգում էր socket-ի ուղիները բառային տեսքով, բայց գործողությունները կատարում էր որպես root, ինչը թույլ էր տալիս արտոնյալ զանգեր՝ տեղական փոխանցման միջոցով, root-ին պատկանող socket-ների ջնջում՝ հեռակա փոխանցման միջոցով, և մի իրավիճակ, երբ միջուկը ստուգումից հետո նորից է որոշում ուղին: Հասանելի թիրախները ներառում էին Docker socket-ը և tailscaled տեղական API-ն: Tailscale-ն այժմ փոխանցում է socket-ները որպես վավերացված օգտատեր: Մինչև թարմացումը, փաստաթղթավորված TS_SSH_DISABLE_FORWARDING միջավայրի փոփոխականը 1-ի սահմանելը անջատում է փոխանցումը՝ առանց Tailscale SSH-ը անջատելու:
• Tailscale-ը նշում է, որ շահագործումը պահանջում է գոյություն ունեցող հենակետ tailnet-ի լիազորված սարքի վրա, որի համար թույլատրված են SSH մուտքը և փոխանցումը, և որ ուղին կողմնակի շարժում է, որը սահմանափակված է քաղաքականության կողմից թույլատրված կապերով և չի նկարագրում ինքնապատճենվող որդ։ Հետազոտողի էջը նշում է, որ թերությունները հայտնաբերվել են ցածր ջանքերով։
• Դենիս Ջեքսոնի և համայնքի մասնակիցների կողմից ղեկավարվող հետազոտական կայքը հայտնում է, որ Apple-ը տեղեկացվել է eMudhra միջանկյալ վկայագրի միջադեպի մասին հոկտեմբերի 17-ին և որ, հոկտեմբերի 28-ի դրությամբ, macOS-ի հետ առաքվող git-ը, curl-ը և python3-ը դեռևս ընդունում են վտանգված վկայագրերը. այն նաև ասում է, որ հոկտեմբերի 26-ին թողարկված macOS 27.2-ը չի շտկել խնդիրը և հետ է վերադարձրել ձեռքով կատարված շտկումները: Apple-ի աջակցության էջը հաստատում է բաժանումը. հոկտեմբերի 19-ից Safari-ն, Mail-ը և Apple-ի շրջանակներում գործող հավելվածները արգելափակում են վկայագրերը, մինչդեռ curl, git, python3, ruby, perl և openssl նման գործիքները, որոնք ստուգում են /etc/ssl/cert.pem ֆայլը, կարող են դրանք դեռ ընդունել մինչև ապագա թարմացում: Apple-ի էջը տրամադրում է կամընտիր ձեռքով քայլեր և զգուշացնում է, որ թարմացումը կարող է փոխարինել ֆայլը:
• Discord-ի բլոգի գրառումը (2026 թվականի հոկտեմբերի 27) ասում է, որ բոլոր Discoverable Servers-ը, որոնք պահանջում են առնվազն 1,000 անդամ և թվով ավելի քան 63,000 են, կունենան հանրային Սերվերի Վեբ Էջ 2026 թվականի նոյեմբերի 16-ից, իսկ ավտոմատացված ալիքների ամփոփագրերը կարող են սկսվել նույն օրը: 2026 թվականի դեկտեմբերի կեսերից, ադմինիստրատորի կողմից թույլատրված հանրային ալիքներից հաղորդագրությունները կարող են հայտնվել Սերվերի Վեբ Էջերում և վեբ որոնման մեջ առանց օգտանունների կամ ավատարների: Եթե ադմինիստրատորները ոչինչ չփոխեն, հանրային ալիքները կմնան միացված: Ադմինիստրատորի կառավարումները (Սերվերի Կարգավորումներ, Վեբ Ներկայություն) և անդամի անջատիչը (Օգտատիրոջ Կարգավորումներ, Տվյալներ և Գաղտնիություն) այժմ հասանելի են. անդամի կարգավորումը անջատված է լռելյայն ԵՄ-ում, Միացյալ Թագավորությունում, Կանադայում, Բրազիլիայում, Ավստրալիայում և Հարավային Կորեայում, իսկ դեռահասների հաշիվները բացառված են:
• The Stanford Daily-ն (2026 թվականի հոկտեմբերի 27) հայտնում է, որ պրոֆեսորները, այդ թվում՝ Թոբիաս Վոլֆը, հրաժարվել են 1.5 միլիարդ դոլար արժողությամբ Bartz v. Anthropic համաձայնագրից, որը ներառում է գրեթե 500,000 գրանցված աշխատանք՝ մոտ 3,000 դոլար մեկ աշխատանքի համար, և առանձին դատի են տալիս Anthropic-ին՝ պահանջելով ժյուրիի դատավարություն, մինչև 150,000 դոլարի օրենսդրական վնասի հատուցում մեկ աշխատանքի համար և արգելանք՝ իրենց գրքերի վրա մարզումներ կատարելուց: Հոդվածն ամփոփում է դատավոր Ուիլյամ Ալսափի նախկին վճիռը՝ որպես օրինական ճանապարհով ձեռք բերված գրքերի վրա մարզումները արդար օգտագործում համարելը և գողացված պատճեններից մշտական գրադարան ստեղծելը՝ ոչ: Նոր հայցերը մեղադրանքներ են. նրանց պահանջների վերաբերյալ որևէ վճիռ չի հայտնաբերվել:

Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

Սառը բացում. Tailscale SSH նիստ և միայն արմատական կրիչները

0:00 Tailscale SSH մուտքը ձեզ պահում է ձեր սեփական օգտվողի հաշվում։ Շաբաթ օրը հրապարակված զեկույցում նկարագրվում են այնպիսի նիստեր, որոնք հասնում են միայն արմատական կրիչների և Tailscale-ը այս շաբաթ ուղարկել է շտկումներ։ Այս տեսանյութում՝ չորս պատմություն։ Ինչի՞ կարող էր հասնել Tailscale SSH նիստը։ Ինչու՞ է Mac-ի git-ը դեռ վստահում չեղյալ հայտարարված վկայագրերին։ Ի՞նչ է փոխվում հանրային Discord սերվերների համար նոյեմբերի տասնվեցին։ Եվ ի՞նչ են պնդում հեղինակները Anthropic-ի դեմ իրենց դատական հայցերում։

0:27 Կա նաև մի պատճառ, որ Tailscale-ը հրաժարվում է այդ զեկույցի անունից։ Ես դա կպահեմ վերջի համար։ Չորեքշաբթի է, հոկտեմբերի 28, և սա The Daily Diff-ն է։ Tailscale-ը միացնում է ձեր մեքենաները մեկ մասնավոր ցանցի, իսկ Tailscale SSH-ը դրա ներկառուցված SSH սերվերն է, որը ստուգում է ձեր Tailscale ինքնությունը բանալի ֆայլի փոխարեն։ Այն աշխատում է արմատական իրավունքներով գործընթացի ներսում։ Մտածեք դռնապանի մասին, ով նաև տիրապետում է գլխավոր բանալուն։

Առաջին պատմություն. ինչին կարող էր հասնել Tailscale SSH նիստը

0:50 Առաջին պատմություն. Անվտանգության հետազոտող Էրիկա Վինդիշը երեք օր փորձարկել է Tailscale 1.104.2-ը և հրապարակել է Tailworm անունով զեկույց։ Tailscale-ը հայտնում է, որ զեկույցը իրեն է հասել շաբաթ առավոտյան, և հետազոտողը հրապարակել է երկու ժամ անց։ Հիմնական բացահայտումը socket-ի փոխանցումն է։ Tailscale-ի սեփական տեղեկագիրը ասում է, որ իր SSH սերվերը աշխատում է որպես root, ստուգում է socket-ի ուղիները իրենց տեքստով, ապա կատարում է աշխատանքը որպես root: Դա տվել է երեք ուղի՝ կապ root-ի համար նախատեսված socket-ի հետ,

1:16 հեռակա փոխանցում, որը ջնջում է root-ին պատկանող socket-ը, և մի իրավիճակ, երբ միջուկը կրկին լուծում է ուղին ստուգումից հետո։ Tailscale-ը ասում է, որ հարձակվողին հենակետ է պետք արդեն tailnet-ում գտնվող սարքի վրա, որի համար SSH-ն և փոխանցումը թույլատրված են քաղաքականության կողմից։ Շտկումը 1.104.4 տարբերակն է, և փոխանցումն այժմ աշխատում է որպես մուտք գործած օգտատեր։ Եթե ​​չեք կարող այսօր թարմացնել, տեղեկագիրը փաստագրում է ծառայության կարգավորում, որն անջատում է

1:42 փոխանցումը։ Երկրորդ պատմություն։

Երկրորդ պատմություն. ինչու է Mac-ի git-ը դեռ վստահում eMudhra-ին

1:44 Անցյալ չորեքշաբթի ես անդրադարձա eMudhra վկայագրի բանալիներին, և ասացի, որ տեղակայված հաճախորդի վստահությունը դեռ ստուգման կարիք ունի։ Apple-ին տեղեկացնելուց ավելի քան մեկ շաբաթ անց, Դենիս Ջեքսոնի կողմից ղեկավարվող հետազոտական կայքը ասում է, որ Mac-ի վրա գտնվող git-ը, curl-ը և python-ը դեռ ընդունում են այդ միջանկյալներից ստացված վկայագրերը: Apple-ի սեփական աջակցության էջը նկարագրում է բաժանումը։ Safari-ն, Mail-ը և հավելվածները Apple-ի ցանցային շրջանակներում արգելափակում են վկայագրերը, և դա հոկտեմբերի տասնինից ի վեր։

2:08 Սակայն հրամանատարական տողի գործիքները, ինչպիսիք են curl-ը, git-ը և python-ը, կարդում են վկայագրի ֆայլ համակարգի թղթապանակում, և դրանք բաց են թողնում Apple-ի արգելափակումը մինչև ապագա թարմացում։ Հետազոտական կայքը հավելում է, որ macOS 27.2-ը, որը թողարկվել է երկուշաբթի, չի շտկել այն և չեղյալ է հայտարարել ձեռքով կատարված շտկումը։ Apple-ի էջում նշվում է, որ թարմացումը կարող է փոխարինել այդ ֆայլը, և ես շտկման ամսաթիվ չգտա։ Tailscale-ի տեղեկագիրը այս բանալիների վերաբերյալ, հոկտեմբերի 21-ից, բացատրում է, որ իր հաճախորդը վստահում է այն ամենին, ինչին վստահում է համակարգի պահեստը։

2:38 Եթե դուք կառուցում եք Mac-ի վրա կամ աշխատեցնում եք Mac CI աշխատեցնողներ, գործարկեք հետազոտողների ստուգումը ձեր սեփական git-ի դեմ, ապա հետևեք Apple-ի քայլերին, որոնք հեռացնում են մինչև երկու արմատական վկայագրեր այդ ֆայլից։ Apple-ը զգուշացնում է, որ դա կարող է խախտել որոշ կայքեր, և թարմացումը կարող է չեղյալ հայտարարել այն, ուստի ստուգեք կրկին յուրաքանչյուր թարմացումից հետո։

Երրորդ պատմություն. Discord-ը հանրային սերվերները տեղափոխում է վեբ որոնում

2:54 Երրորդ պատմություն. Երեքշաբթի Discord-ը հայտարարեց, որ Discoverable Սերվերներում քննարկումները ավելի հեշտ կդառնան գտնել վեբ որոնման մեջ։ Դրանք նրա ամենահանրային սերվերներն են՝ առնվազն հազար անդամով, և Discord-ը հաշվում է դրանցից ավելի քան վաթսուներեք հազարը։ Ահա ամսաթվերը։ Ադմինիստրատորի և անդամների կառավարումները սկսեցին գործարկվել երեքշաբթի օրը։ Նոյեմբերի տասնվեցին ամեն Discoverable Server ստանում է հանրային վեբ էջ, և ավտոմատացված ալիքների ամփոփագրերը կարող են սկսել հայտնվել դրա վրա։

3:18 Դեկտեմբերի կեսերից հանրային ալիքներից հաղորդագրությունները կարող են ցուցադրվել նաև վեբ որոնման մեջ, առանց օգտանունների կամ ավատարների, եթե սերվերի ադմինները թույլատրեն։ Կարևոր են լռելյայն կարգավորումները։ Եթե ադմինիստրատորը ոչինչ չի փոխում, հանրային ալիքները մնում են միացված։ Անդամները ստանում են անջատիչ Տվյալներ և Գաղտնիություն կարգավորումներում։ Այն սկզբում միացված է շատ տեղերում և անջատված է լռելյայն վեցում, ներառյալ Եվրոպական միությունը և Միացյալ Թագավորությունը։ Դեռահասների հաշիվները բացառված են, և դեկտեմբերի կեսերից առաջ ուղարկված հաղորդագրությունները հաշվի չեն առնվում։

3:48 Երկու մանրուք, որոնց պետք է ուշադրություն դարձնել։ Անդամի անջատիչը վերաբերում է հաղորդագրություններին, մինչդեռ ալիքի ամփոփագրերը ստեղծվում են առանձին և մնում են միացված, քանի դեռ ադմինիստրատորն դրանք չի անջատել։ Եվ այն հաղորդագրությունը, որն ուղարկվել է, երբ անջատիչը միացված է եղել, մնում է, քանի դեռ դուք այն չեք ջնջել։ Եթե ​​դուք համայնք եք ղեկավարում, նոյեմբերի տասնվեցինից առաջ բացեք Վեբ ներկայությունը սերվերի կարգավորումներում։ Չորրորդ պատմություն, և ես կհետևեմ այն ամենին, ինչ փաստաթղթավորված է։

Չորրորդ պատմություն. հեղինակներ, Կլոդ և երկրորդ դատական հայցը

4:08 Հոկտեմբերի 26-ին ես անդրադարձա Anthropic-ի հայտին, որը թվարկում է 1.5 միլիարդ դոլարի համաձայնագիր հեղինակների հետ։ The Stanford Daily-ն հայտնում է, որ պրոֆեսորները, այդ թվում՝ Թոբիաս Վոլֆը, հրաժարվել են այդ համաձայնագրից և առանձին դատի են տալիս։ Ըստ Daily-ի, համաձայնագիրը կազմում է մոտ երեք հազար դոլար յուրաքանչյուր աշխատանքի համար, գրեթե հինգ հարյուր հազար աշխատանքի համար։ Հրաժարման հայցը ժյուրիից պահանջում է օրենքով սահմանված վնասի հատուցում մինչև հարյուր հիսուն հազար դոլար մեկ աշխատանքի համար, հիսուն անգամ ավելի, գումարած հրաման՝ արգելելու ուսուցումը

4:37 հայցվորների գրքերի հիման վրա։ Հիմքում ընկած որոշումն ավելի նեղ է, քան վերնագիրը։ Դատավոր Ալսափը գտել է, որ օրինական ճանապարհով ձեռք բերված գրքերի վրա մարզվելը արդար օգտագործում է, և որ ծովահեն պատճեններից մշտական գրադարան ստեղծելը՝ ոչ։ Նոր հայցերը պնդում են ծովահեն պատճեններ, և ես նրանց պահանջների վերաբերյալ որևէ վճիռ չգտա։ Սեպտեմբերին OpenAI LibGen ֆայլերը նույն հարցը բարձրացրեցին մեկ այլ լաբորատորիայի վերաբերյալ։ Եթե դուք հավաքում եք ուսումնական տվյալներ, պահեք գրառում այն մասին, թե որտեղից է ստացվել յուրաքանչյուր ֆայլ։ Որոշումը տարանջատում էր օրինական ճանապարհով ձեռք բերված գրքերը ծովահեն պատճեններից,

5:07 ուստի պատճենների աղբյուրը այն հարցն է, որը ձեզ կտրվի։ Վերադառնանք անվանը։ Tailscale-ը ասում է, որ զեկույցում ոչինչ ինքնուրույն չի տարածվում։ Այն ուղին անվանում է կողմնակի շարժում, որը սահմանափակված է այն կապերով, որոնք tailnet-ի քաղաքականությունն արդեն թույլ է տալիս, և միայն հարձակվողի կողմից արդեն գրավված սարքից։ Հետազոտողի էջը պատասխանում է, որ թերությունները հայտնաբերվել են ցածր ջանքերով։ Երկուսն էլ կարող են ճիշտ լինել, և շտկումն, այնուամենայնիվ, դուրս է եկել։ Եթե նախընտրում եք սա կարդալ, քան լսել իմ ասածը, ապա diff-ը ամեն առավոտ անվճար հասնում է ձեր էլեկտրոնային փոստին՝ thedailydiff.dev հասցեով, հղումը՝ ներքևում։

5:31 ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը՝ ներքևում։ Այսպիսով, այսօրվա վճիռը NEEDS REVIEW է։

Վճիռը. NEEDS REVIEW

5:37 Ես կվերանայեի այն, քանի որ Tailscale-ի շտկումը դուրս է եկել, բայց ձեր սերվերները դեռ թարմացված չեն, Apple-ի հրամանատարական տողի բացը դեռ բաց է, Discord-ի լռելյայն կարգավորումները միանում են նոյեմբերի տասնվեցին, և հեղինակների պահանջները Anthropic-ի դեմ դեռ մեղադրանքներ են։ Եվ այդքանը այսօրվա diff-ի համար։ Ես Նիկոն եմ Axrisi-ից։ Միավորվեք պատասխանատվությամբ։

Աղբյուրներ

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily