Perbaikan Tailworm Tailscale, git Mac dan sertifikat eMudhra, perubahan pencarian web Discord, dan gugatan penulis terhadap Anthropic: empat kisah pengembang dalam satu Daily Diff

Isi video ini

• Tailscale (posting blog, 28 Oktober 2026) mengatakan menerima laporan Tailworm, yang diterbitkan oleh peneliti Erica Windisch dari Cyberdione Labs, pada pagi hari Sabtu, 24 Oktober, dan bahwa peneliti menerbitkannya dua jam kemudian. Versi yang diuji adalah Tailscale 1.104.2 dan headscale 0.29.5. Perbaikan Tailscale ada di versi 1.104.4, dengan empat buletin keamanan bernomor TS-2026-014 hingga TS-2026-017.
• Buletin Tailscale tentang penerusan soket Unix SSH mengatakan server SSH dalam proses tailscaled yang memiliki hak istimewa root memvalidasi jalur soket secara leksikal tetapi melakukan operasi sebagai root, yang memungkinkan dial istimewa melalui penerusan lokal, penghapusan soket milik root melalui penerusan jarak jauh, dan balapan di mana kernel menyelesaikan kembali jalur setelah pemeriksaan. Target yang dapat dijangkau termasuk soket Docker dan API lokal tailscaled. Tailscale sekarang meneruskan soket sebagai pengguna yang diautentikasi. Hingga diperbarui, mengatur variabel lingkungan TS_SSH_DISABLE_FORWARDING yang didokumentasikan ke 1 menonaktifkan penerusan tanpa menonaktifkan Tailscale SSH.
• Tailscale mengatakan eksploitasi membutuhkan pijakan yang ada pada perangkat yang sah di tailnet, dengan akses SSH dan penerusan yang diizinkan oleh kebijakan, dan bahwa jalurnya adalah pergerakan lateral yang terbatas pada koneksi yang diizinkan kebijakan, dan tidak menjelaskan worm yang mereplikasi diri. Halaman peneliti mengatakan kekurangan ditemukan dengan sedikit usaha.
• Situs peneliti yang dijalankan oleh Dennis Jackson dengan kontributor komunitas mengatakan Apple diberitahu tentang insiden sertifikat perantara eMudhra pada 17 Oktober dan bahwa, pada 28 Oktober, git, curl, dan python3 yang dikirimkan bersama macOS masih menerima sertifikat yang disusupi; juga dikatakan macOS 27.2, yang dirilis 26 Oktober, tidak memperbaiki masalah dan membatalkan solusi manual. Halaman dukungan Apple mengonfirmasi pemisahan: sejak 19 Oktober Safari, Mail, dan aplikasi pada kerangka kerja Apple memblokir sertifikat, sementara alat seperti curl, git, python3, ruby, perl, dan openssl yang memeriksa /etc/ssl/cert.pem masih dapat menerimanya hingga pembaruan di masa mendatang. Halaman Apple memberikan langkah-langkah manual opsional dan memperingatkan pembaruan dapat mengganti file.
• Posting blog Discord (27 Oktober 2026) mengatakan semua Discoverable Servers, yang membutuhkan setidaknya 1.000 anggota dan berjumlah lebih dari 63.000, akan memiliki Halaman Web Server publik mulai 16 November 2026, dengan Ringkasan Saluran otomatis dapat dimulai pada hari yang sama. Mulai pertengahan Desember 2026, pesan dari saluran publik yang diizinkan admin dapat muncul di Halaman Web Server dan dalam pencarian web tanpa nama pengguna atau avatar. Jika admin tidak mengubah apa pun, saluran publik tetap aktif. Kontrol admin (Pengaturan Server, Kehadiran Web) dan tombol anggota (Pengaturan Pengguna, Data dan Privasi) tersedia sekarang; pengaturan anggota dinonaktifkan secara default di UE, Inggris, Kanada, Brasil, Australia, dan Korea Selatan, dan akun remaja dikecualikan.
• Stanford Daily (27 Oktober 2026) melaporkan bahwa para profesor termasuk Tobias Wolff memilih keluar dari penyelesaian Bartz v. Anthropic senilai $1,5 miliar, yang mencakup hampir 500.000 karya terdaftar dengan sekitar $3.000 per karya, dan menggugat Anthropic secara terpisah, mencari persidangan juri, ganti rugi hukum hingga $150.000 per karya, dan perintah terhadap pelatihan buku-buku mereka. Artikel tersebut meringkas putusan sebelumnya Hakim William Alsup yang menemukan bahwa pelatihan buku-buku yang diperoleh secara sah adalah penggunaan wajar dan membangun perpustakaan permanen dari salinan bajakan tidak. Gugatan baru adalah tuduhan; tidak ada putusan atas klaim mereka yang ditemukan.

Transkrip terjemahan

Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube.

Pembukaan dingin: sesi SSH Tailscale dan soket khusus root

0:00 Login SSH Tailscale membuat Anda tetap berada di akun pengguna Anda sendiri. Sebuah laporan yang diterbitkan pada hari Sabtu menjelaskan sesi yang mencapai soket hanya root yang seharusnya disentuh, dan Tailscale mengirimkan perbaikan minggu ini. Dalam video ini, empat cerita. Apa yang bisa dijangkau oleh sesi SSH Tailscale? Mengapa git di Mac masih mempercayai sertifikat yang dicabut? Apa yang berubah untuk server Discord publik pada enam belas November? Dan apa yang diklaim penulis dalam gugatan mereka terhadap Anthropic?

0:27 Ada juga alasan Tailscale menolak nama laporan itu. Saya akan menyimpannya untuk di akhir. Ini hari Rabu, dua puluh delapan Oktober, dan ini adalah The Daily Diff. Tailscale menghubungkan mesin Anda ke satu jaringan pribadi, dan Tailscale SSH adalah server SSH bawaannya, yang memeriksa Tailscale Anda identitas alih-alih file kunci. Ini berjalan di dalam proses dengan hak istimewa root. Bayangkan seorang penjaga pintu yang juga memegang kunci utama.

Kisah pertama: apa yang bisa dijangkau oleh sesi SSH Tailscale

0:50 Kisah satu. Peneliti keamanan Erica Windisch menguji Tailscale satu titik satu nol empat titik dua selama tiga hari dan menerbitkan laporan bernama Tailworm. Tailscale mengatakan laporan itu sampai padanya pada Sabtu pagi, dan peneliti menerbitkan dua jam kemudian. Temuan utamanya adalah penerusan soket. Buletin Tailscale sendiri mengatakan server SSH-nya berjalan sebagai root, memeriksa jalur soket berdasarkan teksnya, dan kemudian melakukan pekerjaan sebagai root. Itu memberikan tiga rute: koneksi ke soket khusus root,

1:16 penerusan jarak jauh yang menghapus soket milik root, dan balapan di mana kernel menyelesaikan kembali jalur setelah pemeriksaan. Tailscale mengatakan penyerang membutuhkan pijakan pada perangkat yang sudah ada di tailnet, dengan SSH dan penerusan keduanya diizinkan oleh kebijakan. Perbaikannya adalah versi satu titik satu nol empat titik empat, dan penerusan sekarang berjalan sebagai pengguna yang masuk. Jika Anda tidak dapat memperbarui hari ini, buletin tersebut mendokumentasikan pengaturan layanan yang mematikan

1:42 penerusan. Kisah dua.

Kisah kedua: mengapa git di Mac masih mempercayai eMudhra

1:44 Rabu lalu saya membahas kunci sertifikat eMudhra, dan saya mengatakan kepercayaan klien yang di-deploy masih perlu diperiksa. Lebih dari seminggu setelah Apple diberi tahu, situs peneliti yang dijalankan oleh Dennis Jackson mengatakan git, curl, dan python di Mac masih menerima sertifikat dari perantara tersebut. Halaman dukungan Apple sendiri menjelaskan pemisahannya. Safari, Mail, dan aplikasi di kerangka kerja jaringan Apple memblokir sertifikat, dan telah dilakukan sejak sembilan belas Oktober.

2:08 Tetapi alat baris perintah seperti curl, git, dan python membaca file sertifikat di folder sistem, dan mereka melewati blokir Apple hingga pembaruan di masa mendatang. Situs peneliti menambahkan bahwa macOS dua puluh tujuh titik dua, yang dirilis Senin, tidak memperbaikinya dan membatalkan solusi manual. Halaman Apple memang mengatakan pembaruan dapat mengganti file itu, dan saya tidak menemukan tanggal untuk perbaikan tersebut. Buletin Tailscale tentang kunci-kunci ini, dari dua puluh satu Oktober, menjelaskan bahwa kliennya mempercayai apa pun yang dipercayai oleh penyimpanan sistem.

2:38 Jika Anda membangun di Mac atau menjalankan runner CI Mac, jalankan pemeriksaan peneliti terhadap git Anda sendiri, lalu ikuti langkah-langkah Apple, yang menghapus hingga dua root sertifikat dari file itu. Apple memperingatkan bahwa itu dapat merusak beberapa situs, dan pembaruan dapat membatalkannya, jadi periksa lagi setelah setiap pembaruan.

Kisah ketiga: Discord memindahkan server publik ke pencarian web

2:54 Kisah tiga. Pada hari Selasa Discord mengumumkan bahwa diskusi di Discoverable Server akan menjadi lebih mudah ditemukan dalam pencarian web. Itu adalah server paling publiknya, dengan setidaknya seribu anggota, dan Discord menghitung lebih dari enam puluh tiga ribu di antaranya. Ini tanggalnya. Kontrol admin dan anggota mulai diluncurkan Selasa. Pada enam belas November setiap Discoverable Server mendapatkan halaman web publik, dan ringkasan saluran otomatis dapat mulai muncul di sana.

3:18 Mulai pertengahan Desember, pesan dari saluran publik juga dapat ditampilkan di pencarian web, tanpa nama pengguna atau avatar, jika admin server mengizinkannya. Nilai default itu penting. Jika admin tidak mengubah apa pun, saluran publik tetap aktif. Anggota mendapatkan tombol di pengaturan Data dan Privasi. Ini dimulai aktif di sebagian besar tempat dan nonaktif secara default di enam tempat, termasuk Uni Eropa dan Inggris Raya. Akun remaja dikecualikan, dan pesan dari sebelum pertengahan Desember tidak dihitung.

3:48 Dua detail yang perlu diperhatikan. Tombol anggota mencakup pesan, sementara ringkasan saluran dihasilkan secara terpisah dan tetap aktif kecuali admin mematikannya. Dan pesan yang dikirim saat tombol aktif tetap ada kecuali Anda menghapusnya. Jika Anda menjalankan komunitas, buka Kehadiran Web di pengaturan server sebelum November enam belas. Kisah empat, dan saya akan berpegang pada apa yang didokumentasikan.

Kisah keempat: penulis, Claude, dan gugatan kedua

4:08 Pada dua puluh enam Oktober saya membahas pengajuan Anthropic, yang mencantumkan penyelesaian satu titik lima miliar dolar dengan penulis. Stanford Daily melaporkan bahwa para profesor termasuk Tobias Wolff memilih keluar dari penyelesaian itu dan menggugat secara terpisah. Menurut Daily, penyelesaian tersebut berjumlah sekitar tiga ribu dolar per karya, di hampir lima ratus ribu karya. Gugatan opt-out meminta juri untuk ganti rugi hukum hingga seratus lima puluh ribu dolar per karya, lima puluh kali lebih banyak, ditambah perintah terhadap pelatihan pada

4:37 buku-buku penggugat. Putusan di bawahnya lebih sempit daripada judulnya. Hakim Alsup menemukan bahwa pelatihan buku-buku yang diperoleh secara sah adalah penggunaan wajar, dan bahwa membangun perpustakaan permanen dari salinan bajakan tidak. Gugatan baru menuduh salinan bajakan, dan saya tidak menemukan putusan atas klaim mereka. Pada bulan September, file OpenAI LibGen mengajukan pertanyaan yang sama tentang yang lain lab. Jika Anda mengumpulkan data pelatihan, simpan catatan dari mana setiap file berasal. Putusan memisahkan buku-buku yang diperoleh secara sah dari salinan bajakan,

5:07 jadi sumber salinan adalah pertanyaan yang akan Anda tanyakan. Kembali ke nama. Tailscale mengatakan tidak ada dalam laporan yang menyebar sendiri. Ini menyebut jalur tersebut pergerakan lateral, terbatas pada koneksi kebijakan tailnet sudah mengizinkan, dan hanya dari perangkat yang sudah dipegang penyerang. Halaman peneliti membalas bahwa kekurangan ditemukan dengan sedikit usaha. Keduanya bisa benar, dan perbaikannya sudah keluar. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, perbedaan mendarat di kotak masuk Anda

5:31 setiap pagi, gratis di the daily diff dot dev, tautan di bawah. Jadi putusan hari ini adalah PERLU DITINJAU.

Putusan: PERLU DITINJAU

5:37 Saya akan meninjaunya karena perbaikan Tailscale sudah keluar tetapi server Anda belum diperbarui belum, celah baris perintah Apple masih terbuka, default Discord aktif pada enam belas November, dan klaim penulis masih berupa tuduhan. Dan itulah perbedaannya untuk hari ini. Saya Niko dari Axrisi. Gabungkan secara bertanggung jawab.

Sumber

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily