Tailscale Tailworm labojumi, Mac git un eMudhra sertifikāti, Discord tīmekļa meklēšanas izmaiņas un autoru prasības pret Anthropic: četri izstrādātāju stāsti vienā The Daily Diff

Ko aptver šis video

• Tailscale (bloga ieraksts, 2026. gada 28. oktobris) paziņo, ka tas saņēma Tailworm ziņojumu, ko publicēja pētniece Erica Windisch no Cyberdione Labs, 24. oktobra sestdienas rītā, un ka pētniece to publicēja divas stundas vēlāk. Testētās versijas bija Tailscale 1.104.2 un headscale 0.29.5. Tailscale labojumi ir versijā 1.104.4, ar četriem drošības biļeteniem, numurētiem no TS-2026-014 līdz TS-2026-017.
• Tailscale biļetens par SSH Unix ligzdu pārsūtīšanu norāda, ka SSH serveris ar root privileģēto tailscaled procesu leksiski validēja ligzdu ceļus, bet veica operācijas kā root, kas ļāva privileģētus savienojumus caur lokālo pārsūtīšanu, root piederošu ligzdu dzēšanu caur attālo pārsūtīšanu un sacensību, kurā kodols pēc pārbaudes atkārtoti atrisina ceļu. Sasniedzamie mērķi ietvēra Docker ligzdu un tailscaled lokālo API. Tailscale tagad pārsūta ligzdas kā autentificētais lietotājs. Līdz atjaunināšanai, dokumentētās TS_SSH_DISABLE_FORWARDING vides mainīgā vērtības iestatīšana uz 1 atspējo pārsūtīšanu, neatspējojot Tailscale SSH.
• Tailscale norāda, ka ekspluatācijai ir nepieciešama esoša piekļuves vieta autorizētā ierīcē tailnetā, ar SSH piekļuvi un pārsūtīšanu, kas atļauta ar politiku, un ka ceļš ir sānu kustība, kas ierobežota līdz savienojumiem, ko atļauj politika, un neapraksta pašatjaunojošu tārpu. Pētnieka lapā teikts, ka kļūdas tika atrastas ar nelielām pūlēm.
• Pētnieka vietne, ko vada Dennis Jackson ar kopienas līdzstrādniekiem, norāda, ka Apple tika paziņots par eMudhra starpposma sertifikātu incidentu 17. oktobrī un ka līdz 28. oktobrim git, curl un python3, kas tiek piegādāti ar macOS, joprojām pieņem kompromitētos sertifikātus; tā arī norāda, ka macOS 27.2, kas tika izlaista 26. oktobrī, neatrisināja problēmu un atcēla manuālos risinājumus. Apple atbalsta lapa apstiprina sadalījumu: kopš 19. oktobra Safari, Mail un lietotnes Apple ietvaros bloķē sertifikātus, savukārt rīki, piemēram, curl, git, python3, ruby, perl un openssl, kas pārbauda /etc/ssl/cert.pem, joprojām var tos pieņemt līdz nākamajam atjauninājumam. Apple lapa piedāvā papildu manuālas darbības un brīdina, ka atjauninājums var aizstāt failu.
• Discord bloga ieraksts (2026. gada 27. oktobris) paziņo, ka visiem atklājamiem serveriem, kuriem nepieciešami vismaz 1000 dalībnieki un kuru skaits pārsniedz 63 000, no 2026. gada 16. novembra būs publiska servera tīmekļa lapa, ar automatizētiem kanālu kopsavilkumiem, kas var sākt parādīties tajā pašā dienā. No 2026. gada decembra vidus ziņojumi no administratora atļautiem publiskajiem kanāliem var parādīties servera tīmekļa lapās un tīmekļa meklēšanā bez lietotājvārdiem vai avatāriem. Ja administratori neko nemaina, publiskie kanāli paliek ieslēgti. Administratora vadīklas (Servera iestatījumi, Tīmekļa klātbūtne) un dalībnieku slēdzis (Lietotāja iestatījumi, Dati un privātums) ir pieejami tagad; dalībnieku iestatījums pēc noklusējuma ir izslēgts ES, Lielbritānijā, Kanādā, Brazīlijā, Austrālijā un Dienvidkorejā, un pusaudžu konti ir izslēgti.
• Stanford Daily (2026. gada 27. oktobris) ziņo, ka profesori, tostarp Tobias Wolff, atteicās no 1,5 miljardu dolāru Bartz pret Anthropic izlīguma, kas aptver gandrīz 500 000 reģistrētu darbu par aptuveni 3000 dolāriem par darbu, un atsevišķi iesūdz tiesā Anthropic, pieprasot zvērināto tiesu, likumā noteiktos zaudējumus līdz 150 000 dolāriem par darbu un rīkojumu pret apmācību ar viņu grāmatām. Raksts apkopo tiesneša William Alsup iepriekšējo lēmumu, kurā konstatēts, ka apmācība ar likumīgi iegūtām grāmatām ir godīga izmantošana, un pastāvīgas bibliotēkas veidošana no pirātiskām kopijām nav. Jaunās prasības ir apgalvojumi; nav atrasts lēmums par to prasībām.

Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

Aukstais sākums: Tailscale SSH sesija un tikai root pieejamās ligzdas

0:00 Tailscale SSH pieteikšanās saglabā jūs jūsu pašu lietotāja kontā. Ziņojums, kas publicēts sestdien, apraksta sesijas, kas sasniedz ligzdas, kurām tikai root vajadzētu piekļūt, un Tailscale šonedēļ izlaida labojumus. Šajā video – četri stāsti. Ko varēja sasniegt Tailscale SSH sesija? Kāpēc git Mac datorā joprojām uzticas atsauktajiem sertifikātiem? Kas mainīsies publiskajiem Discord serveriem sešpadsmitajā novembrī? Un ko apgalvo autori savās prasībās pret Anthropic?

0:27 Ir arī iemesls, kāpēc Tailscale nepiekrīt šī ziņojuma nosaukumam. Es to paturēšu beigām. Ir trešdiena, divdesmit astotais oktobris, un šis ir The Daily Diff. Tailscale savieno jūsu mašīnas vienā privātā tīklā, un Tailscale SSH ir tā iebūvētais SSH serveris, kas pārbauda jūsu Tailscale identitāti, nevis atslēgu failu. Tas darbojas procesā ar root privilēģijām. Iedomājieties durvju sargu, kurš tur arī galveno atslēgu.

Pirmais stāsts: ko varēja sasniegt Tailscale SSH sesija

0:50 Pirmais stāsts. Drošības pētniece Erica Windisch testēja Tailscale 1.104.2 trīs dienas un publicēja ziņojumu ar nosaukumu Tailworm. Tailscale norāda, ka ziņojums to sasniedza sestdienas rītā, un pētniece to publicēja divas stundas vēlāk. Galvenais atklājums ir ligzdu pārsūtīšana. Tailscale paša biļetens norāda, ka tā SSH serveris darbojas kā root, pārbaudīja ligzdu ceļus pēc to teksta un pēc tam veica darbu kā root. Tas deva trīs ceļus: savienojums ar tikai root ligzdu,

1:16 attālu pārsūtīšanu, kas dzēš root piederošu ligzdu, un sacensību, kurā kodols pēc pārbaudes atkal atrisina ceļu. Tailscale norāda, ka uzbrucējam ir nepieciešama piekļuves vieta ierīcē, kas jau atrodas tailnetā, ar SSH un pārsūtīšanu, ko atļauj politika. Labojums ir versijā 1.104.4, un pārsūtīšana tagad darbojas kā pieslēgtais lietotājs. Ja nevarat atjaunināt šodien, biļetenā ir dokumentēts pakalpojuma iestatījums, kas izslēdz

1:42 pārsūtīšanu. Otrais stāsts.

Otrais stāsts: kāpēc git Mac datorā joprojām uzticas eMudhra

1:44 Pagājušajā trešdienā es aplūkoju eMudhra sertifikātu atslēgas, un es teicu, ka izvietotā klienta uzticamība joprojām ir jāpārbauda. Vairāk nekā nedēļu pēc tam, kad Apple tika paziņots, pētnieka vietne, ko vada Dennis Jackson, norāda, ka git, curl un python Mac datorā joprojām pieņem sertifikātus no šiem starpposma sertifikātiem. Apple paša atbalsta lapa apraksta sadalījumu. Safari, Mail un lietotnes Apple tīkla ietvaros bloķē sertifikātus, un tas ir kopš deviņpadsmitā oktobra.

2:08 Bet komandrindas rīki, piemēram, curl, git un python, lasa sertifikātu failu sistēmas mapē, un tie apiet Apple bloķēšanu līdz nākamajam atjauninājumam. Pētnieka vietne piebilst, ka macOS 27.2, kas tika izlaista pirmdien, to neatrisināja un atcēla manuālo risinājumu. Apple lapā teikts, ka atjauninājums var aizstāt šo failu, un es neatradu labojuma datumu. Tailscale biļetens par šīm atslēgām, no divdesmit pirmā oktobra, paskaidro, ka tā klients uzticas tam, kam uzticas sistēmas krātuve.

2:38 Ja veidojat Mac datorā vai palaižat Mac CI izpildītājus, palaidiet pētnieku pārbaudi pret jūsu pašu git, pēc tam sekojiet Apple soļiem, kas noņem līdz diviem root sertifikātiem no šī faila. Apple brīdina, ka tas var sabojāt dažas vietnes, un atjauninājums to var atcelt, tāpēc pēc katra atjauninājuma pārbaudiet vēlreiz.

Trešais stāsts: Discord publiskos serverus pārvieto uz tīmekļa meklēšanu

2:54 Trešais stāsts. Otrdien Discord paziņoja, ka diskusijas atklājamos serveros kļūs vieglāk atrodamas tīmekļa meklēšanā. Tie ir tā publiskākie serveri, ar vismaz tūkstoti dalībnieku, un Discord uzskaita vairāk nekā sešdesmit trīs tūkstošus no tiem. Šeit ir datumi. Administratora un dalībnieku vadīklas sāka ieviest otrdien. Sešpadsmitajā novembrī katrs atklājamais serveris iegūs publisku tīmekļa lapu, un tajā var sākt parādīties automatizēti kanālu kopsavilkumi.

3:18 No decembra vidus ziņojumi no publiskajiem kanāliem var parādīties arī tīmekļa meklēšanā, bez lietotājvārdiem vai avatāriem, ja servera administratori to atļauj. Noklusējuma iestatījumiem ir nozīme. Ja administrators neko nemaina, publiskie kanāli paliek ieslēgti. Dalībnieki iegūst slēdzi Datu un privātuma iestatījumos. Lielākajā daļā vietu tas sākas ieslēgts, un sešās pēc noklusējuma izslēgts, tostarp Eiropas Savienībā un Apvienotajā Karalistē. Pusaudžu konti ir izslēgti, un ziņojumi no pirms decembra vidus netiek ņemti vērā.

3:48 Divas detaļas, kurām pievērst uzmanību. Dalībnieka slēdzis attiecas uz ziņojumiem, savukārt kanālu kopsavilkumi tiek ģenerēti atsevišķi un paliek ieslēgti, ja vien administrators tos neizslēdz. Un ziņojums, kas nosūtīts, kamēr slēdzis bija ieslēgts, paliek redzams, ja vien jūs to neizdzēšat. Ja jūs vadāt kopienu, atveriet Tīmekļa klātbūtne servera iestatījumos pirms novembra sešpadsmitā. Ceturtais stāsts, un es pieturēšos pie dokumentētā.

Ceturtais stāsts: autori, Claude un otrā tiesas prāva

4:08 Divdesmit sestajā oktobrī es aplūkoju Anthropic iesniegumu, kurā ir uzskaitīts 1,5 miljardu dolāru izlīgums ar autoriem. Stanford Daily ziņo, ka profesori, tostarp Tobias Wolff, atteicās no šī izlīguma un atsevišķi iesūdz tiesā. Saskaņā ar Daily, izlīgums paredz apmēram trīs tūkstošus dolāru par darbu, aptverot gandrīz piecsimt tūkstošus darbu. Izlīguma atteikuma prāvā zvērinātajiem tiek prasīti likumā noteiktie zaudējumi līdz simt piecdesmit tūkstošiem dolāru par darbu, piecdesmit reizes vairāk, kā arī rīkojums pret apmācību ar

4:37 prasītāju grāmatām. Lēmums, kas ir pamatā, ir šaurāks par virsrakstu. Tiesnesis Alsup konstatēja, ka apmācība ar likumīgi iegūtām grāmatām bija godīga izmantošana, un ka pastāvīgas bibliotēkas veidošana no pirātiskām kopijām nebija. Jaunajās prasībās tiek apgalvotas pirātiskas kopijas, un es neatradu lēmumu par to prasībām. Septembrī OpenAI LibGen faili izvirzīja to pašu jautājumu par citu laboratoriju. Ja jūs apkopojat apmācības datus, saglabājiet ierakstu par to, no kurienes katrs fails nācis. Lēmums nodalīja likumīgi iegūtās grāmatas no pirātiskajām kopijām,

5:07 tāpēc kopiju avots ir jautājums, kas jums tiks uzdots. Atgriezīsimies pie nosaukuma. Tailscale norāda, ka nekas ziņojumā neizplatās pats par sevi. Tas dēvē ceļu par sānu kustību, ierobežotu ar savienojumiem, ko tailnet politika jau atļauj, un tikai no ierīces, ko uzbrucējs jau tur. Pētnieka lapā atbildēts, ka kļūdas tika atrastas ar nelielām pūlēm. Abi var būt patiesi, un labojums ir pieejams jebkurā gadījumā. Ja vēlaties to izlasīt, nevis dzirdēt, kā es to saku, "diff" nonāk jūsu iesūtnē

5:31 katru rītu, bez maksas vietnē "daily diff dot dev", saite zemāk. Tāpēc šodienas spriedums ir NEPIECIEŠAMA PĀRSKATĪŠANA (NEEDS REVIEW).

Spriedums: NEPIECIEŠAMA PĀRSKATĪŠANA (NEEDS REVIEW)

5:37 Es to pārskatītu, jo Tailscale labojums ir pieejams, bet jūsu serveri vēl nav atjaunināti, Apple komandrindas plaisa joprojām ir atvērta, Discord noklusējuma iestatījumi mainās sešpadsmitajā novembrī, un autoru prasības joprojām ir apgalvojumi. Un tas ir šodienas "diff". Esmu Niko no Axrisi. Apvienojiet atbildīgi.

Avoti

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily