Tailscale's Tailworm түзөтүүлөрү, Mac git жана eMudhra сертификаттары, Discord'дун веб издөөсүнүн өзгөрүшү жана авторлордун Anthropic компаниясына каршы доо арыздары: бир Daily Diffте төрт иштеп чыгуучу окуясы

Бул видео эмнелерди камтыйт

• Tailscale (блог посту, 2026-жылдын 28-октябры) Cyberdione Labs компаниясынын изилдөөчүсү Эрика Виндиш жарыялаган Tailworm отчетун 24-октябрь, ишемби күнү эртең менен алганын жана изилдөөчү аны эки сааттан кийин жарыялаганын билдирет. Сыналган версиялар Tailscale 1.104.2 жана headscale 0.29.5 болгон. Tailscale'дын оңдоолору 1.104.4 версиясында, TS-2026-014тен TS-2026-017ге чейин номерленген төрт коопсуздук бюллетени менен.
• Tailscale'дын SSH Unix сокет багыттоосу боюнча бюллетени root-привилегиялуу tailscaled процессиндеги SSH сервери сокет жолдорун лексикалык түрдө текшергенин, бирок операцияларды root катары аткарганын билдирет, бул жергиликтүү багыттоо аркылуу артыкчылыктуу чалууларга, алыскы багыттоо аркылуу root ээлигиндеги сокеттерди жок кылууга жана ядро текшерүүдөн кийин жолду кайра чечүүчү жарышка жол берген. Жеткиликтүү буталарга Docker сокети жана tailscaled жергиликтүү API кирген. Tailscale эми сокеттерди аутентификацияланган колдонуучу катары багыттайт. Жаңыртылганга чейин, документтештирилген TS_SSH_DISABLE_FORWARDING чөйрө өзгөрмөсүн 1ге коюу Tailscale SSHди өчүрбөстөн багыттоону өчүрөт.
• Tailscale эксплуатациялоо tailnet'теги авторизацияланган түзмөктө учурдагы таянычты талап кылат, SSH кирүүсү жана багыттоо саясат тарабынан уруксат берилген, жана жол саясат уруксат берген байланыштар менен чектелген каптал кыймыл экенин, жана өзүн-өзү көбөйтүүчү куртту сүрөттөбөйт дейт. Изилдөөчүнүн барагы кемчиликтер аз аракет менен табылганын билдирет.
• Деннис Джексон тарабынан коомчулуктун катышуучулары менен башкарылган изилдөөчүлөр сайты Apple'га eMudhra ортомчу сертификат инциденти тууралуу 17-октябрда кабар берилгенин жана 28-октябрга карата macOS менен келген git, curl жана python3 дагы эле бузулган сертификаттарды кабыл алып жатканын билдирет; ошондой эле 26-октябрда чыккан macOS 27.2 маселени оңдобогонун жана кол менен жасалган айла-амалдарды жокко чыгарганын айтат. Apple'дын колдоо барагы бөлүштүрүүнү ырастайт: 19-октябрдан бери Safari, Mail жана Apple'дын фреймворкторундагы колдонмолор сертификаттарды бөгөттөйт, ал эми /etc/ssl/cert.pem файлын текшерген curl, git, python3, ruby, perl жана openssl сыяктуу куралдар келечектеги жаңыртууга чейин аларды кабыл ала бериши мүмкүн. Apple'дын барагы кошумча кол менен жасалуучу кадамдарды берет жана жаңыртуу файлды алмаштырышы мүмкүн экенин эскертет.
• Discord'дун блог посту (2026-жылдын 27-октябры) Discoverable серверлердин бардыгы, алар жок дегенде 1000 мүчөнү талап кылат жана саны 63,000ден ашат, 2026-жылдын 16-ноябрынан баштап коомдук Server Web Page'ге ээ болорун, ошол эле күнү автоматташтырылган Channel Summaries баштала аларын билдирет. 2026-жылдын декабрь айынын ортосунан баштап, администраторлор уруксат берген коомдук каналдардан келген билдирүүлөр Server Web Pages'те жана веб издөөдө колдонуучу аттары же аватарларсыз пайда болушу мүмкүн. Эгер администраторлор эч нерсени өзгөртпөсө, коомдук каналдар күйүк бойдон калат. Администратордук көзөмөл (Сервер Орнотуулары, Веб Катышуу) жана мүчөнүн которгучу (Колдонуучу Орнотуулары, Маалымат жана Купуялык) азыр жеткиликтүү; мүчө жөндөөсү ЕБ, Улуу Британия, Канада, Бразилия, Австралия жана Түштүк Кореяда демейки боюнча өчүк, жана өспүрүм аккаунттар киргизилбейт.
• Stanford Daily (2026-жылдын 27-октябры) Тобиас Вольфту кошкондогу профессорлор 1.5 миллиард долларлык Bartz v. Anthropic келишиминен баш тартканын, бул келишим 500,000ге жакын катталган эмгектерди камтып, ар бир эмгекке болжол менен 3,000 доллардан туура келерин, жана Anthropic компаниясын өзүнчө сотко берип жатышканын, жюри сотун, ар бир эмгекке 150,000 долларга чейинки мыйзамдуу зыяндын ордун толтурууну жана алардын китептери боюнча окутууга тыюу салууну талап кылып жатышканын билдирет. Макалада Сот Уильям Элсаптын мурунку чечими мыйзамдуу алынган китептер боюнча окутууну адилеттүү пайдалануу деп тапкандыгын, ал эми пираттык көчүрмөлөрдөн туруктуу китепкана курууну андай эмес деп тапкандыгын кыскача баяндайт. Жаңы доо арыздар айыптоолор; алардын дооматтары боюнча эч кандай чечим табылган жок.

Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

Муздак ачуу: Tailscale SSH сессиясы жана root-only сокеттери

0:00 Tailscale SSH кириши сизди өзүңүздүн колдонуучу аккаунтуңуздун ичинде кармайт. Ишемби күнү жарыяланган отчетто сессиялар root-only сокеттерге жеткени сүрөттөлөт тийиши керек, жана Tailscale ушул жумада оңдоолорду чыгарды. Бул видеодо төрт окуя. Tailscale SSH сессиясы эмнеге жетише алат? Macтагы git эмне үчүн дагы деле жокко чыгарылган сертификаттарга ишенет? 16-ноябрда коомдук Discord серверлери үчүн эмне өзгөрөт? Жана авторлор Anthropic компаниясына каршы доо арыздарында эмнени талап кылышат?

0:27 Tailscale ошол отчеттун аталышына каршы чыгып жаткан себеби дагы бар. Мен аны аягына калтырам. Бүгүн шаршемби, 28-октябрь, жана бул The Daily Diff. Tailscale сиздин машиналарыңызды бир жеке тармакка байланыштырат, жана Tailscale SSH - бул анын орнотулган SSH сервери, ал ачкыч файлын эмес, сиздин Tailscale идентификацияңызды текшерет. Ал root артыкчылыктары бар процесстин ичинде иштейт. Мастер ачкычты да кармаган швейцарды ойлоп көрүңүз.

Биринчи окуя: Tailscale SSH сессиясы эмнеге жетише алат

0:50 Биринчи окуя. Коопсуздук изилдөөчүсү Эрика Виндиш Tailscale бир он төрт экини үч күн сынап, Tailworm деп аталган отчетту жарыялаган. Tailscale отчет ишемби күнү эртең менен жеткенин, жана изилдөөчү эки сааттан кийин жарыялаганын билдирет. Негизги жыйынтык - сокет багыттоо. Tailscale'дын өз бюллетени анын SSH сервери root катары иштей турганын, сокет жолдорун текст боюнча текшерип, андан кийин жумушту root катары аткарганын билдирет. Бул үч жолду берди: root-only сокетине туташуу,

1:16 root ээлигиндеги сокетти жок кылган алыскы багыттоо, жана ядро текшерүүдөн кийин жолду кайра чечүүчү жарыш. Tailscale чабуулчуга таяныч керек экенин билдирет tailnet'теги түзмөктө, SSH жана багыттоо саясат тарабынан уруксат берилген. Оңдоо бир он төрт төрт версиясында, жана багыттоо азыр кирген колдонуучу катары иштейт. Эгер сиз бүгүн жаңыртылбасаңыз, бюллетенде багыттоону өчүргөн кызмат жөндөөсү

1:42 документтештирилген. Экинчи окуя.

Экинчи окуя: Macтагы git эмне үчүн дагы деле eMudhraга ишенет

1:44 Өткөн шаршембиде мен eMudhra сертификат ачкычтарын камтыдым, жана жайгаштырылган кардардын ишеними дагы эле текшерилиши керек дедим. Appleге кабар берилгенден бир жумадан ашык убакыт өткөндөн кийин, Деннис Джексон башкарган изилдөөчүлөр сайты Macтагы git, curl жана python дагы деле ошол ортомчулардан келген сертификаттарды кабыл аларын билдирет. Apple'дын өзүнүн колдоо барагы бөлүнүүнү сүрөттөйт. Safari, Mail жана Apple'дын тармактык фреймворкторундагы колдонмолор сертификаттарды бөгөттөйт, жана 19-октябрдан бери.

2:08 Бирок curl, git жана python сыяктуу командалык сап куралдары системалык папкадагы сертификат файлын окуйт, жана алар келечектеги жаңыртууга чейин Apple'дын бөгөтүн өткөрүп жиберет. Изилдөөчүлөр сайты дүйшөмбү күнү чыккан macOS жыйырма жети эки аны оңдобогонун жана кол менен жасалган айла-амалдарды жокко чыгарганын кошот. Apple'дын барагы жаңыртуу ошол файлды алмаштырышы мүмкүн экенин билдирет, жана мен оңдоонун датасын тапкан жокмун. Tailscale'дын бул ачкычтар боюнча бюллетени, 21-октябрдан баштап, анын кардары системалык сактагыч ишенген нерсеге ишенээрин түшүндүрөт.

2:38 Эгер сиз Macта куруп же Mac CI раннерлерин иштетсеңиз, изилдөөчүлөрдүн текшерүүсүн өзүңүздүн gitке каршы иштетиңиз, андан кийин Apple'дын кадамдарын аткарыңыз, алар ошол файлдан экиге чейин root сертификаттарды алып салат. Apple бул кээ бир сайттарды бузушу мүмкүн экенин эскертет, жана жаңыртуу аны жокко чыгарышы мүмкүн, ошондуктан ар бир жаңыртуудан кийин кайра текшериңиз.

Үчүнчү окуя: Discord коомдук серверлерди веб издөөгө жылдырат

2:54 Үчүнчү окуя. Шейшемби күнү Discord Discoverable серверлердеги талкууларды веб издөөдөн табуу оңой болорун жарыялады. Алар анын эң коомдук серверлери, миңден кем эмес мүчөлөрү бар, жана Discord алардын алтымыш үч миңден ашыгын санайт. Бул жерде даталар. Администратор жана мүчө көзөмөлдөрү шейшемби күнү чыга баштады. 16-ноябрда ар бир Discoverable Server коомдук веб баракчага ээ болот, жана автоматташтырылган каналдардын кыскача баяндамалары анда пайда боло башташы мүмкүн.

3:18 Декабрдын ортосунан баштап, коомдук каналдардан келген билдирүүлөр веб издөөдө да көрсөтүлүшү мүмкүн, колдонуучу аттары же аватарларсыз, эгер сервердин администраторлору уруксат берсе. Демейки жөндөөлөр маанилүү. Эгер администратор эч нерсени өзгөртпөсө, коомдук каналдар күйүк бойдон калат. Мүчөлөр Маалымат жана Купуялык жөндөөлөрүндө которгучту алышат. Ал көпчүлүк жерлерде күйүк, ал эми алты жерде демейки боюнча өчүк, анын ичинде Европа Биримдиги жана Улуу Британия. Өспүрүм аккаунттар киргизилбейт, жана декабрдын ортосуна чейинки билдирүүлөр эсепке алынбайт.

3:48 Көрүүгө эки деталь. Мүчө которгуч билдирүүлөрдү камтыйт, ал эми каналдардын кыскача баяндамалары өзүнчө түзүлөт жана администраторлор өчүрмөйүнчө күйүк бойдон калат. Жана которгуч күйүк кезде жөнөтүлгөн билдирүү сиз аны өчүрмөйүнчө кала берет. Эгер сиз коомчулукту башкарсаңыз, 16-ноябрга чейин сервер жөндөөлөрүндө Веб Катышууну ачыңыз. Төртүнчү окуя, жана мен документтештирилген нерселерге гана таянам.

Төртүнчү окуя: авторлор, Клод жана экинчи соттук териштирүү

4:08 26-октябрда мен Anthropic документин камтыдым, ал авторлор менен бир жарым миллиард долларлык келишимди тизмектейт. Stanford Daily Тобиас Вольфту кошкондогу профессорлор ошол келишимден баш тартып, жана өзүнчө сотко берип жатышканын билдирет. Daily басылмасынын маалыматы боюнча, келишим болжол менен беш жүз миң эмгек боюнча ар бир эмгекке үч миң долларга жакын сумманы түзөт. Баш тартуу доо арызы жюриден ар бир эмгекке жүз элүү миң долларга чейинки мыйзамдуу зыяндын ордун толтурууну, элүү эсе көп, ошондой эле доогерлердин

4:37 китептери боюнча окутууга тыюу салууну талап кылат. Алдындагы чечим аталышка караганда кууш. Сот Элсап мыйзамдуу алынган китептер боюнча окутууну адилеттүү пайдалануу деп тапкан, жана пираттык көчүрмөлөрдөн туруктуу китепкана курууну андай эмес деп тапкан. Жаңы доо арыздар пираттык көчүрмөлөрдү айыптайт, жана мен алардын дооматтары боюнча эч кандай чечим тапкан жокмун. Сентябрда, OpenAI LibGen файлдары дагы бир лаборатория боюнча ошол эле суроону көтөргөн. Эгер сиз окутуу маалыматтарын чогултсаңыз, ар бир файл кайдан келгени тууралуу жазууну сактаңыз. Чечим мыйзамдуу алынган китептерди пираттык көчүрмөлөрдөн ажыраткан,

5:07 ошондуктан көчүрмөлөрдүн булагы сизге берилчү суроо болот. Атка кайра. Tailscale отчетто эч нерсе өз алдынча жайылбайт дейт. Ал жолду каптал кыймыл деп атайт, tailnet саясаты буга чейин уруксат берген байланыштар менен чектелген, жана чабуулчу ээлик кылган түзмөктөн гана. Изилдөөчүнүн барагы кемчиликтер аз аракет менен табылганын жооп берет. Экөө тең чын болушу мүмкүн, жана оңдоо кандай болгон күндө да чыкты. Эгер сиз муну уккандан көрө окугуңуз келсе, diff ар күнү эртең менен

5:31 сиздин почтаңызга бекер келет, the daily diff dot dev дарегинде, шилтеме ылдыйда. Ошентип, бүгүнкү өкүм NEEDS REVIEW.

Өкүм: NEEDS REVIEW

5:37 Мен аны карап чыгам, анткени Tailscale'дын оңдоосу чыкты, бирок сиздин серверлериңиз азырынча жаңыртылган жок, Apple'дын командалык сап кемчилиги дагы деле ачык, Discord'дун демейки жөндөөлөрү 16-ноябрда күйөт, жана авторлордун Anthropic компаниясына каршы дооматтары дагы эле айыптоолор. Жана бүгүнкү diff ушул. Мен Axrisi компаниясынан Нико. Жоопкерчилик менен бириктиргиле.

Булактар

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily