Lagfæringar Tailscale á Tailworm, Mac git og eMudhra skírteinin, breyting Discord á vefleit og málsóknir höfunda gegn Anthropic: fjórar þróunarsögur í einu Daily Diff

Það sem þetta myndband fjallar um

• Tailscale (bloggfærsla, 28. október 2026) segist hafa fengið Tailworm skýrsluna, sem gefin var út af rannsakandanum Ericu Windisch frá Cyberdione Labs, að morgni laugardagsins 24. október, og að rannsakandinn hafi birt hana tveimur tímum síðar. Prófaðar útgáfur voru Tailscale 1.104.2 og headscale 0.29.5. Lagfæringar Tailscale eru í útgáfu 1.104.4, með fjórum öryggisfréttum númeruðum TS-2026-014 til TS-2026-017.
• Tilkynning Tailscale um SSH Unix socket framsendingu segir að SSH netþjónninn í "root-privileged tailscaled process" hafi staðfest "socket paths" málfræðilega en framkvæmt aðgerðirnar sem rót, sem leyfði forréttindatengingu í gegnum staðbundna framsendingu, eyðingu á "root-owned sockets" í gegnum fjartengingu, og kapphlaup þar sem kjarninn endurleitar leiðina eftir athugun. Markmið sem hægt var að ná til voru Docker tengillinn og tailscaled staðbundin API. Tailscale framsendir nú tengla sem staðfestur notandi. Þangað til uppfært er, slekkur stilling umhverfisbreytunnar TS_SSH_DISABLE_FORWARDING á 1 á framsendingu án þess að slökkva á Tailscale SSH.
• Tailscale segir að nýting þurfi núverandi fótfestu á heimiluðu tæki í "tailnet", með SSH aðgangi og framsendingu leyfða samkvæmt stefnu, og að leiðin sé hliðarflutningur takmarkaður við tengingar sem stefnan leyfir, og lýsir ekki sjálf-endurtekinni orm. Síða rannsakanda segir að gallarnir hafi fundist með litlum fyrirhöfn.
• Rannsakendasíða rekin af Dennis Jackson með framlagi frá samfélaginu segir að Apple hafi verið látinn vita af eMudhra milliskírteinisatvikinu 17. október og að, frá og með 28. október, samþykki git, curl og python3 sem fylgja macOS enn hin skaðlegu skírteini; hún segir einnig að macOS 27.2, sem gefin var út 26. október, hafi ekki lagað vandamálið og snúið við handvirkum lausnum. Stuðningssíða Apple staðfestir skiptinguna: síðan 19. október hafa Safari, Mail og öpp á ramma Apple lokað fyrir skírteinin, á meðan tól eins og curl, git, python3, ruby, perl og openssl sem athuga /etc/ssl/cert.pem geta enn samþykkt þau fram að næstu uppfærslu. Síða Apple gefur valkvæðar handvirkar leiðbeiningar og varar við því að uppfærsla geti skipt út skránni.
• Bloggfærsla Discord (27. október 2026) segir að allir Discoverable Servers, sem þurfa að minnsta kosti 1.000 meðlimi og eru fleiri en 63.000 talsins, muni hafa opinbera vefsíðu fyrir netþjóninn frá 16. nóvember 2026, með sjálfvirkum rásasamantektum sem geta byrjað sama dag. Frá miðjum desember 2026 geta skilaboð frá almennum rásum sem stjórnandi leyfir birst á vefsíðum netþjóna og í vefleit án notendanafna eða myndana. Ef stjórnendur breyta engu, halda almennar rásir áfram. Stjórnandi stillingar (Server Settings, Web Presence) og rofi meðlima (User Settings, Data and Privacy) eru í boði núna; stilling meðlima er sjálfgefið slökkt í ESB, Bretlandi, Kanada, Brasilíu, Ástralíu og Suður-Kóreu, og reikningar unglinga eru undanskildir.
• The Stanford Daily (27. október 2026) greinir frá því að prófessorar, þar á meðal Tobias Wolff, hafi valið að taka ekki þátt í 1,5 milljarða dollara Bartz v. Anthropic sáttagreiðslu, sem nær til tæplega 500.000 skráðra verka á um það bil 3.000 dollara á hvert verk, og eru að lögsækja Anthropic sérstaklega, þar sem þeir leita eftir kviðdómsréttarhöldum, lögbundnum skaðabótum allt að 150.000 dollara á hvert verk og lögbanni gegn þjálfun á bókum þeirra. Greinin dregur saman fyrri úrskurð dómarans William Alsup sem fann að þjálfun á löglegum keyptum bókum væri sanngjörn notkun en að byggja varanlegt bókasafn úr stolnum afritum væri ekki. Nýju málsóknirnar eru ásakanir; engin úrskurður um kröfur þeirra fannst.

Þýtt afrit

Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.

Kalt upphaf: Tailscale SSH fundur og "root-only" tenglar

0:00 Tailscale SSH innskráning heldur þér inni í þínum eigin notandareikningi. Skýrsla sem birt var á laugardag lýsir fundum sem náðu til tengla sem aðeins rót ætti að snerta, og Tailscale gaf út lagfæringar í þessari viku. Í þessu myndbandi, fjórar sögur. Hvað gæti Tailscale SSH fundur náð til? Hvers vegna treystir git á Mac enn afturkölluðum skírteinum? Hvað breytist fyrir opinbera Discord netþjóna þann sextánda nóvember? Og hvað eru höfundar að fullyrða í málsóknum sínum gegn Anthropic?

0:27 Það er líka ástæða fyrir því að Tailscale víkur frá nafni þeirrar skýrslu. Ég mun geyma það til loka. Það er miðvikudagur, tuttugu og áttundi október, og þetta er The Daily Diff. Tailscale tengir vélar þínar í eitt einkanet, og Tailscale SSH er innbyggður SSH netþjónn þess, sem athugar Tailscale auðkenni þitt í stað lykilskrár. Það keyrir innan ferlis með rótaréttindi. Hugsaðu þér hurðarvörð sem heldur líka aðallyklinum.

Saga eitt: Hvað Tailscale SSH fundur gæti náð til

0:50 Saga eitt. Öryggisrannsakandi Erica Windisch prófaði Tailscale 1.104.2 í þrjá daga og birti skýrslu sem heitir Tailworm. Tailscale segir að skýrslan hafi borist þeim á laugardagsmorgun, og rannsakandinn birti hana tveimur tímum síðar. Aðalniðurstaðan er "socket forwarding". Eigin tilkynning Tailscale segir að SSH netþjónninn þess keyri sem rót, hafi athugað tenglaslóðir eftir texta þeirra, og síðan framkvæmt verkið sem rót. Það gaf þrjár leiðir: tengingu við rót-eingöngu tengil,

1:16 fjarlæga framsendingu sem eyðir rót-eigin tengil, og kapphlaup þar sem kjarninn leitar slóðina aftur eftir athugunina. Tailscale segir að árásarmaður þurfi fótfestu á tæki sem þegar er í "tailnet", með SSH og framsendingu leyfðri samkvæmt stefnu. Lagfæringin er útgáfa 1.104.4, og framsending keyrir nú sem innskráður notandi. Ef þú getur ekki uppfært í dag, skjalfestir tilkynningin þjónustustillingu sem slekkur

1:42 á framsendingu. Saga tvö.

Saga tvö: Hvers vegna git á Mac treystir enn eMudhra

1:44 Síðasta miðvikudag fjallaði ég um eMudhra skírteinislyklana, og ég sagði að traust uppsettra viðskiptavina þyrfti enn að athuga. Meira en viku eftir að Apple var tilkynnt, segir rannsakendasíða rekin af Dennis Jackson að git, curl og python á Mac samþykki enn skírteini frá þeim millistigum. Stuðningssíða Apple sjálf lýsir skiptingunni. Safari, Mail og öpp á netkerfisramma Apple blokka skírteinin, og hafa gert síðan nítjánda október.

2:08 En skipanalínutól eins og curl, git og python lesa skírteinaskrá í kerfismöppu, og þau sleppa við blokk Apple þar til næsta uppfærsla. Rannsakendasíðan bætir við að macOS 27.2, sem gefin var út á mánudag, lagaði það ekki og snéri við handvirku lausninni. Síða Apple segir að uppfærsla geti skipt út þeirri skrá, og ég fann engan dagsetningu fyrir lagfæringuna. Tilkynning Tailscale um þessa lykla, frá tuttugu og fyrsta október, útskýrir að viðskiptavinur þess treystir því sem kerfisgeymslan treystir.

2:38 Ef þú byggir á Mac eða keyrir Mac CI hlaupara, keyrðu þá athugun rannsakenda gegn þínu eigin git, fylgdu síðan skrefum Apple, sem fjarlægja allt að tvo rót skírteini úr þeirri skrá. Apple varar við því að það geti rjúfað sumar síður, og uppfærsla getur snúið því við, svo athugaðu aftur eftir hverja uppfærslu.

Saga þrjú: Discord færir opinbera netþjóna í vefleit

2:54 Saga þrjú. Á þriðjudag tilkynnti Discord að umræður í Discoverable Servers verði auðveldari að finna í vefleit. Þetta eru opinberustu netþjónar þeirra, með að minnsta kosti þúsund meðlimi, og Discord telur fleiri en sextíu og þrjú þúsund af þeim. Hér eru dagsetningarnar. Stjórnandi- og meðlimastýringar byrjuðu að rúlla út á þriðjudag. Þann sextánda nóvember fá allir Discoverable Servers opinbera vefsíðu, og sjálfvirkir rásasamantektir geta byrjað að birtast á henni.

3:18 Frá miðjum desember geta skilaboð frá almennum rásum einnig birst í vefleit, án notendanafna eða myndana, ef stjórnendur netþjónsins leyfa það. Sjálfgefnar stillingar skipta máli. Ef stjórnandi breytir engu, halda almennar rásir áfram. Meðlimir fá rofa í stillingum fyrir gögn og persónuvernd. Það byrjar á í flestum stöðum og sjálfgefið slökkt í sex, þar á meðal Evrópusambandinu og Bretlandi. Reikningar unglinga eru útilokaðir, og skilaboð frá því fyrir miðjan desember teljast ekki.

3:48 Tveir punktar til að fylgjast með. Meðlimarofinn nær til skilaboða, á meðan rásasamantektir eru myndaðar sérstaklega og haldast á nema stjórnandi slökkvi á þeim. Og skilaboð send þegar rofinn var á haldast uppi nema þú eyðir þeim. Ef þú rekur samfélag, opnaðu "Web Presence" í stillingum netþjóns áður en ellefti mánuðurinn sextándi. Saga fjögur, og ég mun halda mig við það sem er skjalfest.

Saga fjögur: Höfundar, Claude og önnur málsókn

4:08 Þann tuttugu og sjötta október fjallaði ég um tilkynningu Anthropic, sem listar upp 1,5 milljarða dollara sáttagreiðslu við höfunda. Stanford Daily greinir frá því að prófessorar, þar á meðal Tobias Wolff, hafi valið að taka ekki þátt í þessari sáttagreiðslu og séu að lögsækja sérstaklega. Samkvæmt "Daily" nemur sáttagreiðslan um það bil þrjú þúsund dollara á hvert verk, yfir tæplega fimm hundruð þúsund verk. Málsóknin biður kviðdóm um lögbundnar skaðabætur allt að eitt hundrað fimmtíu þúsund dollara á hvert verk, fimmtíu sinnum meira, auk fyrirmæla gegn þjálfun á

4:37 bókum stefnenda. Úrskurðurinn undir er þrengri en fyrirsögnin. Dómarinn Alsup fann að þjálfun á löglega keyptum bókum væri sanngjörn notkun, og að byggja varanlegt bókasafn úr stolnum afritum væri ekki. Nýju málsóknirnar halda fram stolnum afritum, og ég fann engan úrskurð um kröfur þeirra. Í september vöktu OpenAI LibGen skrárnar sömu spurningu um annað rannsóknarstofu. Ef þú setur saman þjálfunargögn, haltu skrá yfir uppruna hverrar skráar. Úrskurðurinn aðgreindi löglega keyptar bækur frá stolnum afritum,

5:07 svo uppruni afritanna er spurningin sem þú verður spurður. Aftur að nafninu. Tailscale segir ekkert í skýrslunni dreifist af sjálfu sér. Það kallar leiðina hliðarflutning, takmarkað við tengingar sem "tailnet" stefnan leyfir nú þegar, og aðeins frá tæki sem árásarmaðurinn á þegar. Síða rannsakanda svarar því að gallarnir hafi fundist með litlum fyrirhöfn. Bæði geta verið sönn, og lagfæringin er komin út hvort sem er. Ef þú vilt frekar lesa þetta en heyra mig segja það, þá lendir munurinn í pósthólfinu þínu

5:31 á hverjum morgni, ókeypis á thedaily.dev, hlekkur hér að neðan. Svo niðurstaða dagsins er NEEDS REVIEW.

Niðurstaða: NEEDS REVIEW

5:37 Ég myndi fara yfir það því lagfæring Tailscale er komin út en netþjónar þínir eru ekki uppfærðir enn, skipanalínuopnun Apple er enn opin, sjálfgefnar stillingar Discord fara í gang þann sextánda nóvember, og fullyrðingar höfunda eru enn ásakanir. Og þetta er munurinn fyrir daginn í dag. Ég er Niko frá Axrisi. Sameinast á ábyrgan hátt.

Heimildir

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily