Tailscale компаниясының Tailworm түзетулері, Mac git және eMudhra сертификаттары, Discord-тың веб-іздеуді өзгертуі және авторлардың Anthropic-ке қарсы сот істері: төрт әзірлеуші оқиғасы бір Daily Diff-те

Бұл бейне не туралы

• Tailscale (блог жазбасы, 2026 жылғы 28 қазан) Cyberdione Labs зерттеушісі Эрика Виндиш жариялаған Tailworm есебін 24 қазан, сенбі күні таңертең алғанын және зерттеуші оны екі сағаттан кейін жариялағанын айтады. Сынақтан өткен нұсқалар Tailscale 1.104.2 және headscale 0.29.5 болды. Tailscale түзетулері 1.104.4 нұсқасында, төрт қауіпсіздік бюллетені TS-2026-014-тен TS-2026-017-ге дейін нөмірленген.
• Tailscale-дің SSH Unix сокетін бағыттау туралы бюллетені түбірлік артықшылықтары бар tailscaled процесіндегі SSH сервері сокет жолдарын лексикалық тұрғыдан тексергенін, бірақ операцияларды түбірлік ретінде орындағанын, бұл жергілікті бағыттау арқылы артықшылықты теруге, қашықтан бағыттау арқылы түбірлікке тиесілі сокеттерді жоюға және ядро тексеруден кейін жолды қайта шешетін жарысқа мүмкіндік бергенін айтады. Қолжетімді мақсаттарға Docker сокеті және tailscaled жергілікті API кіреді. Tailscale енді сокеттерді аутентификацияланған пайдаланушы ретінде бағыттайды. Жаңартылғанға дейін, құжатталған TS_SSH_DISABLE_FORWARDING орта айнымалысын 1-ге орнату Tailscale SSH-ті өшірмей, бағыттауды өшіреді.
• Tailscale эксплуатациялау үшін tailnet-тегі рұқсат етілген құрылғыда қолданыстағы тірек қажет екенін, SSH қолжетімділігі және саясатпен рұқсат етілген бағыттау қажет екенін, және жол саясат рұқсат ететін байланыстармен шектелген бүйірлік қозғалыс екенін және өзін-өзі көбейтетін құртты сипаттамайтынын айтады. Зерттеушінің бетінде кемшіліктер аз күш жұмсап табылғаны айтылады.
• Деннис Джексон басқаратын және қауымдастық қатысушылары бар зерттеуші сайты Apple-ге 17 қазанда eMudhra аралық сертификат оқиғасы туралы хабарланғанын және 28 қазанға дейін macOS жүйесімен бірге жеткізілген git, curl және python3 бұзылған сертификаттарды әлі де қабылдайтынын айтады; сонымен қатар 26 қазанда шығарылған macOS 27.2 мәселені шешпегенін және қолмен жасалған жұмыс айналымдарын жойғанын айтады. Apple қолдау беті бөлуді растайды: 19 қазаннан бастап Safari, Mail және Apple платформаларындағы қолданбалар сертификаттарды бұғаттайды, ал curl, git, python3, ruby, perl және openssl сияқты /etc/ssl/cert.pem файлын тексеретін құралдар болашақ жаңартуға дейін оларды әлі де қабылдай алады. Apple бетінде қосымша қолмен жасалатын қадамдар берілген және жаңарту файлды ауыстыруы мүмкін екендігі туралы ескертілген.
• Discord блог жазбасы (2026 жылғы 27 қазан) барлық Discoverable Server-лер, олар үшін кем дегенде 1000 мүше қажет және олардың саны 63 000-нан асады, 2026 жылғы 16 қарашадан бастап көпшілікке қолжетімді серверлік веб-бетке ие болатынын, және автоматтандырылған арна қорытындылары сол күні басталуы мүмкін екенін айтады. 2026 жылдың желтоқсан айының ортасынан бастап, әкімші рұқсат еткен көпшілікке арналған арналардағы хабарламалар серверлік веб-беттерде және веб-іздеуде пайдаланушы аттары немесе аватарларсыз пайда болуы мүмкін. Егер әкімшілер ештеңе өзгертпесе, көпшілікке арналған арналар іске қосулы қалады. Әкімші басқару элементтері (Сервер параметрлері, Веб-қатысу) және мүше қосқышы (Пайдаланушы параметрлері, Деректер және құпиялылық) қазірден бастап қолжетімді; мүше параметрі ЕО, Ұлыбритания, Канада, Бразилия, Австралия және Оңтүстік Кореяда әдепкі бойынша өшірулі, ал жасөспірімдер аккаунттары алынып тасталған.
• Stanford Daily (2026 жылғы 27 қазан) Тобиас Вольфты қоса алғандағы профессорлардың 1,5 миллиард долларлық Бартц пен Anthropic арасындағы келісімнен бас тартқанын, ол шамамен 500 000 тіркелген шығарманы бір шығармаға шамамен 3 000 доллардан қамтитынын және Anthropic-ті жеке сотқа бергенін хабарлайды, сот отырысын, бір шығармаға 150 000 долларға дейінгі заңды залалдарды және олардың кітаптарындағы оқытуға тыйым салуды талап етеді. Мақалада судья Уильям Алсуптың бұрынғы шешімі заңды түрде сатып алынған кітаптардағы оқытуды әділ пайдалану деп танығанын, ал пираттық көшірмелерден тұрақты кітапхана құруды олай емес деп қорытындылағанын қысқаша баяндайды. Жаңа сот істері айыптау болып табылады; олардың талаптары бойынша ешқандай шешім табылған жоқ.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

Салқын бастама: Tailscale SSH сессиясы және тек түбірлік сокеттер

0:00 Tailscale SSH кіруі сізді өз пайдаланушы тіркелгіңізде ұстайды. Сенбіде жарияланған есепте тек түбірлік тиіс сокеттерге қол жеткізетін сессиялар сипатталған, және Tailscale осы аптада түзетулерді жіберді. Бұл бейнеде төрт оқиға бар. Tailscale SSH сессиясы неге қол жеткізе алады? Mac жүйесіндегі git неліктен әлі де кері қайтарылған сертификаттарға сенеді? 16 қарашада жалпыға қолжетімді Discord серверлері үшін не өзгереді? Және авторлар Anthropic-ке қарсы сот істерінде не талап етеді?

0:27 Tailscale-дің сол есептің атауына қарсы шығуының да себебі бар. Мен оны соңына қалдырамын. Бүгін сәрсенбі, 28 қазан, бұл The Daily Diff. Tailscale сіздің машиналарыңызды бір жеке желіге қосады, және Tailscale SSH - бұл оның кіріктірілген SSH сервері, ол кілт файлын емес, сіздің Tailscale жеке басыңызды тексереді. Ол түбірлік артықшылықтары бар процестің ішінде жұмыс істейді. Дарбазашыны бас кілтті ұстайтын адам деп ойлаңыз.

Бірінші оқиға: Tailscale SSH сессиясы неге қол жеткізе алады

0:50 Бірінші оқиға. Қауіпсіздік зерттеушісі Эрика Виндиш Tailscale бір нүкте бір нөлді төрт нүкте екіні үш күн бойы сынап, Tailworm деп аталатын есеп жариялады. Tailscale есеп оған сенбі күні таңертең жеткенін, және зерттеуші екі сағаттан кейін жариялағанын айтады. Негізгі табыс - сокет бағыттау. Tailscale-дің өзінің бюллетені SSH сервері түбірлік ретінде жұмыс істейтінін, сокет жолдарын мәтіні бойынша тексеріп, содан кейін жұмысты түбірлік ретінде орындағанын айтады. Бұл үш жолды берді: тек түбірлік сокетке қосылу,

1:16 түбірлікке тиесілі сокетті жоятын қашықтағы бағыттау және ядро тексеруден кейін жолды қайта шешетін жарыс. Tailscale шабуылдаушыға тірек қажет екенін айтады tailnet-тегі құрылғыда, SSH және бағыттау екеуі де саясатпен рұқсат етілген. Түзету - бір нүкте бір нөл төрт нүкте төрт нұсқасы, және бағыттау енді кірген пайдаланушы ретінде іске қосылады. Егер сіз бүгін жаңарта алмасаңыз, бюллетень бағыттауды өшіретін қызмет параметрін

1:42 құжаттайды. Екінші оқиға.

Екінші оқиға: Mac жүйесіндегі git неліктен әлі де eMudhra-ға сенеді

1:44 Өткен сәрсенбіде мен eMudhra сертификат кілттерін қарастырдым, және мен орнатылған клиенттің сенімін әлі де тексеру қажет деп айттым. Apple-ге хабарланғаннан кейін бір аптадан астам уақыт өткен соң, Деннис Джексон басқаратын зерттеуші сайты Mac жүйесіндегі git, curl және python әлі де сол аралық сертификаттарды қабылдайтынын айтады. Apple-дің өзінің қолдау беті бөлуді сипаттайды. Safari, Mail және Apple желілік платформаларындағы қолданбалар сертификаттарды бұғаттайды, және олар 19 қазаннан бастап бұғаттаған.

2:08 Бірақ curl, git және python сияқты командалық жол құралдары жүйелік қалтадағы сертификат файлын оқиды, және олар Apple бұғаттауын болашақ жаңартуға дейін өткізіп жібереді. Зерттеуші сайты дүйсенбіде шығарылған macOS жиырма жеті нүкте екі, оны түзетпегенін және қолмен жасалған жұмыс айналымдарын жойғанын қосады. Apple бетінде жаңарту сол файлды ауыстыруы мүмкін екендігі айтылған, және мен түзетудің күнін таппадым. Tailscale-дің осы кілттер туралы бюллетені, жиырма бірінші қазаннан бастап, оның клиенті жүйелік дүкен сенетін нәрсеге сенетінін түсіндіреді.

2:38 Егер сіз Mac жүйесінде құрастырсаңыз немесе Mac CI жұмыс істегіштерін іске қоссаңыз, зерттеушілердің тексеруін өз git-іңізге қарсы іске қосыңыз, содан кейін Apple қадамдарын орындаңыз, олар екіге дейін түбірлік сертификатты сол файлдан жояды. Apple бұл кейбір сайттарды бұзуы мүмкін және жаңарту оны кері қайтаруы мүмкін деп ескертеді, сондықтан әр жаңартудан кейін қайта тексеріңіз.

Үшінші оқиға: Discord жалпыға қолжетімді серверлерді веб-іздеуге көшіреді

2:54 Үшінші оқиға. Сейсенбіде Discord Discoverable Серверлеріндегі талқылауларды веб-іздеуден оңайырақ табуға болатынын хабарлады. Бұл оның ең көпшілікке қолжетімді серверлері, кем дегенде мың мүшесі бар, және Discord олардың алпыс үш мыңнан астамын санайды. Міне, күндері. Әкімші және мүше басқару элементтері сейсенбіде іске қосыла бастады. 16 қарашада әрбір Discoverable Server жалпыға қолжетімді веб-бетке ие болады, және автоматтандырылған арна қорытындылары онда пайда бола бастауы мүмкін.

3:18 Желтоқсан айының ортасынан бастап, жалпыға қолжетімді арналардағы хабарламалар да веб-іздеуде көрсетілуі мүмкін, пайдаланушы аттары немесе аватарларсыз, егер сервер әкімшілері рұқсат етсе. Әдепкі параметрлер маңызды. Егер әкімші ештеңе өзгертпесе, жалпыға қолжетімді арналар қосулы қалады. Мүшелер Деректер және Құпиялылық параметрлерінде қосқышты алады. Ол көп жерлерде қосулы, ал алты жерде әдепкі бойынша өшірулі, соның ішінде Еуропалық Одақ пен Біріккен Корольдік. Жасөспірімдер тіркелгілері алынып тасталған, және желтоқсан айының ортасына дейінгі хабарламалар есептелмейді.

3:48 Бақылауға алынатын екі егжей-тегжей. Мүше қосқышы хабарламаларды қамтиды, ал арна қорытындылары бөлек жасалады және әкімші оларды өшірмейінше қосулы қалады. Және қосқыш қосулы кезде жіберілген хабарлама сіз оны жоймайынша тұрады. Егер сіз қауымдастықты басқарсаңыз, 16 қарашаға дейін сервер параметрлеріндегі Веб-қатысуды ашыңыз. Төртінші оқиға, және мен құжатталған нәрселермен шектелемін.

Төртінші оқиға: авторлар, Claude және екінші сот ісі

4:08 26 қазанда мен Anthropic құжатын қарастырдым, ол авторлармен бір нүкте бес миллиард долларлық келісімді тізімдейді. Stanford Daily басылымы Тобиас Вольфты қоса алғандағы профессорлардың сол келісімнен бас тартып, жеке сотқа бергенін хабарлайды. Daily басылымына сәйкес, келісім шамамен бес жүз мың шығарма бойынша, бір шығармаға шамамен үш мың долларды құрайды. Бас тарту туралы сот ісі қазылар алқасынан бір шығармаға бір жүз елу мың долларға дейінгі заңды залалдарды, елу есе көп, сонымен қатар

4:37 талапкерлердің кітаптарындағы оқытуға тыйым салу туралы бұйрықты сұрайды. Негізгі шешім тақырыптан гөрі тар. Судья Алсуп заңды түрде сатып алынған кітаптардағы оқытуды әділ пайдалану деп таныды, ал пираттық көшірмелерден тұрақты кітапхана құруды олай емес деп таныды. Жаңа сот істері пираттық көшірмелерді айыптайды, және мен олардың талаптары бойынша ешқандай шешім таппадым. Қыркүйекте OpenAI LibGen файлдары басқа зертхана туралы дәл осындай сұрақ тудырды. Егер сіз оқыту деректерін жинасаңыз, әр файлдың қайдан келгенін жазып отырыңыз. Шешім заңды түрде сатып алынған кітаптарды пираттық көшірмелерден бөлді,

5:07 сондықтан көшірмелердің бастапқы көзі - сізге қойылатын сұрақ. Атауына қайта оралайық. Tailscale есепте ештеңенің өздігінен таралмайтынын айтады. Ол жолды бүйірлік қозғалыс деп атайды, tailnet саясаты рұқсат еткен байланыстармен шектелген, және тек шабуылдаушы қазірдің өзінде иеленген құрылғыдан. Зерттеушінің бетінде кемшіліктер аз күш жұмсап табылғаны жауап берілген. Екеуі де шындық болуы мүмкін, және түзету қалай болғанда да шықты. Егер сіз мұны менің айтқанымды естігеннен гөрі оқығанды жөн көрсеңіз, diff сіздің кіріс жәшігіңізге

5:31 әр таңда тегін келеді, daily diff dot dev сайтында, төмендегі сілтеме. Сонымен, бүгінгі үкім ҚАЙТА ҚАРАУ ҚАЖЕТ.

Үкім: ҚАЙТА ҚАРАУ ҚАЖЕТ

5:37 Мен оны қайта қараймын, өйткені Tailscale түзетуі шықты, бірақ серверлеріңіз әлі жаңартылмаған, Apple-дің командалық жол ақауы әлі ашық, Discord-тың әдепкі параметрлері 16 қарашада қосылады, және авторлардың Anthropic-ке қарсы талаптары әлі де айыптау болып табылады. Және бүгінгі diff осы. Мен Axrisi-ден Никомын. Жауапкершілікпен біріктіріңіз.

Дереккөздер

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily