Tailscale-ийн Tailworm-ийн засварууд, Mac git болон eMudhra-ийн гэрчилгээнүүд, Discord-ийн вэб хайлтын өөрчлөлт ба зохиогчдын Anthropic-ийн эсрэг нэхэмжлэл: дөрвөн хөгжүүлэгчийн түүх нэг Daily Diff-д

Энэ видео юуг хамардаг

• Tailscale (блог нийтлэл, 2026 оны 10-р сарын 28) нь Cyberdione Labs-ийн судлаач Эрика Виндишийн хэвлүүлсэн Tailworm тайланг 10-р сарын 24-ний Бямба гарагийн өглөө хүлээн авсан бөгөөд судлаач үүнийг хоёр цагийн дараа хэвлүүлсэн гэж мэдэгдэв. Туршсан хувилбарууд нь Tailscale 1.104.2 болон headscale 0.29.5 байв. Tailscale-ийн засварууд нь 1.104.4 хувилбарт багтсан бөгөөд TS-2026-014-ээс TS-2026-017 дугаартай дөрвөн аюулгүй байдлын мэдээлэлтэй.
• Tailscale-ийн SSH Unix сокет дамжуулалтын талаарх мэдэгдэлд root-ийн эрхтэй tailscaled процесс дахь SSH сервер нь сокетын замыг үгээр шалгадаг боловч үйлдлүүдийг root эрхээр гүйцэтгэдэг байсан бөгөөд энэ нь локал дамжуулалтаар дамжуулан эрхтэй дуудлага хийх, алсын дамжуулалтаар дамжуулан root-ийн өмчлөлийн сокетуудыг устгах, мөн кернел нь шалгалтын дараа замыг дахин шийдвэрлэдэг уралдааныг зөвшөөрдөг байсан гэжээ. Хүрэх боломжтой зорилтуудад Docker сокет болон tailscaled-ийн локал API багтсан. Tailscale одоо сокетуудыг баталгаажуулсан хэрэглэгчээр дамжуулж байна. Шинэчлэгдэх хүртэл, баримтжуулсан TS_SSH_DISABLE_FORWARDING орчны хувьсагчийг 1 болгож тохируулах нь Tailscale SSH-ийг идэвхгүй болгохгүйгээр дамжуулалтыг идэвхгүй болгоно.
• Tailscale нь ашиглалт хийхийн тулд tailnet дахь зөвшөөрөгдсөн төхөөрөмж дээр одоо байгаа хөл тавих цэг, SSH хандалт болон бодлогоор зөвшөөрөгдсөн дамжуулалт хэрэгтэй бөгөөд уг зам нь бодлогоор зөвшөөрөгдсөн холболтоор хязгаарлагдсан хөндлөн хөдөлгөөн бөгөөд өөрөө хуулбарлагддаг хорхойг тайлбарлахгүй гэж мэдэгдэв. Судлаачийн хуудсанд алдааг бага хүчин чармайлтаар олсон гэжээ.
• Деннис Жэксоны удирддаг, олон нийтийн оролцоотой судлаачийн сайт нь Apple-д eMudhra-ийн завсрын гэрчилгээний ослын талаар 10-р сарын 17-нд мэдэгдсэн бөгөөд 10-р сарын 28-ны байдлаар macOS-той хамт нийлүүлэгдсэн git, curl болон python3 нь эвдэрсэн гэрчилгээнүүдийг хүлээн авсаар байгааг, мөн 10-р сарын 26-нд гарсан macOS 27.2 нь асуудлыг засаагүй бөгөөд гарын авлагын арга хэмжээг буцаасан гэж мэдэгдэв. Apple-ийн дэмжлэгийн хуудас хуваагдлыг баталж байна: 10-р сарын 19-нөөс хойш Safari, Mail болон Apple-ийн фреймворк дээрх апп-ууд гэрчилгээнүүдийг хааж байгаа бол curl, git, python3, ruby, perl болон openssl зэрэг /etc/ssl/cert.pem-ийг шалгадаг хэрэгслүүд ирээдүйн шинэчлэлт хүртэл тэдгээрийг хүлээн авсаар байж болно. Apple-ийн хуудас нь нэмэлт гарын авлагын алхмуудыг өгөх бөгөөд шинэчлэлт нь файлыг орлуулж болно гэж анхааруулсан.
• Discord-ийн блогийн нийтлэлд (2026 оны 10-р сарын 27) бүх Discoverable Servers, нэг дор 1,000-аас доошгүй гишүүнтэй, 63,000 гаруй тоотой, 2026 оны 11-р сарын 16-наас эхлэн олон нийтийн Server Web Page-тэй болох бөгөөд автомат Channel Summaries мөн өдрөөс эхлэн ажиллах боломжтой гэж мэдэгдэв. 2026 оны 12-р сарын дундаас эхлэн, администратороор зөвшөөрөгдсөн нийтийн сувгийн мессежүүд Server Web Pages болон вэб хайлтад хэрэглэгчийн нэр, аватаргүйгээр гарч болно. Хэрэв администраторууд юу ч өөрчлөхгүй бол нийтийн сувгууд хэвээр үлдэнэ. Администраторын хяналтууд (Server Settings, Web Presence) болон гишүүний тохиргоо (User Settings, Data and Privacy) одоо бэлэн болсон; гишүүний тохиргоо нь ЕХ, Их Британи, Канад, Бразил, Австрали, Өмнөд Солонгост үндсэн утгаараа унтарсан байдаг бөгөөд өсвөр насны бүртгэлүүд хасагдсан.
• Stanford Daily (2026 оны 10-р сарын 27) Тобиас Вольф зэрэг профессорууд $1.5 тэрбумын Bartz v. Anthropic-ийн тохиролцооноос татгалзсан бөгөөд энэ нь ойролцоогоор 500,000 бүртгэгдсэн бүтээлийг хамруулж, нэг бүтээлд $3,000 орчим төлбөр ногдуулдаг бөгөөд Anthropic-ийг тусад нь шүүхэд өгч, шүүхийн шийдвэр, нэг бүтээлд $150,000 хүртэлх хууль ёсны хохирол болон тэдний номнуудаар сургалт хийхийг хориглох тушаал хүсэж байна. Уг нийтлэлд Шүүгч Уильям Элсапын өмнөх шийдвэрийг хууль ёсоор олж авсан номнуудаар сургалт хийх нь шударга хэрэглээ, хулгайлагдсан хуулбаруудаас байнгын номын сан байгуулах нь үгүй гэж дүгнэсэн байна. Шинэ нэхэмжлэлүүд нь үндэслэлгүй; тэдний нэхэмжлэлийн талаар шийдвэр олдсонгүй.

Орчуулсан бичлэг

Англи хэл дээрх эх хувилбараас орчуулсан. Боломжтой дуу болон хадмал орчуулгыг YouTube хянадаг.

Эхлэл: Tailscale SSH сесс болон root-ийн эрхтэй сокетууд

0:00 Tailscale SSH нэвтрэлт нь таныг өөрийн хэрэглэгчийн бүртгэл дотор байлгадаг. Бямба гарагт нийтлэгдсэн тайланд зөвхөн root хүрэх ёстой сокетуудад хүрэх сессүүдийг тайлбарласан бөгөөд Tailscale энэ долоо хоногт засваруудыг гаргасан. Энэ видеонд дөрвөн түүх байна. Tailscale SSH сесс юунд хүрч болох вэ? Яагаад Mac дээрх git хүчингүй болгосон гэрчилгээнүүдэд итгэсээр байна вэ? 11-р сарын 16-наас эхлэн нийтийн Discord серверүүдэд юу өөрчлөгдөх вэ? Мөн зохиогчид Anthropic-ийн эсрэг нэхэмжлэлдээ юу шаардаж байна вэ?

0:27 Tailscale-ийн уг тайлангийн нэрийг эсэргүүцэх бас нэг шалтгаан бий. Би үүнийг төгсгөлд нь үлдээе. Өнөөдөр 10-р сарын 28-ны Лхагва гараг, энэ бол The Daily Diff. Tailscale нь таны машинуудыг нэг хувийн сүлжээнд холбодог, мөн Tailscale SSH нь түүний суурилуулсан SSH сервер бөгөөд энэ нь түлхүүр файлын оронд таны Tailscale таних тэмдгийг шалгадаг. Энэ нь root эрхтэй процесс дотор ажилладаг. Үүдний хаалгач мөн мастер түлхүүрийг барьж байгааг төсөөлөөрэй.

Нэгдүгээр түүх: Tailscale SSH сесс юунд хүрч болох вэ

0:50 Нэгдүгээр түүх. Аюулгүй байдлын судлаач Эрика Виндиш Tailscale 1.104.2-ийг гурван өдөр туршиж, Tailworm нэртэй тайлан нийтэлжээ. Tailscale-ийн мэдэгдсэнээр тайлан Бямба гарагийн өглөө ирсэн, мөн судлаач хоёр цагийн дараа нийтэлжээ. Үндсэн ололт нь сокетын дамжуулалт юм. Tailscale-ийн өөрийн мэдэгдэлд SSH сервер нь root эрхээр ажилладаг, сокетын замыг текстээр шалгадаг, дараа нь ажлыг root эрхээр хийдэг байсан гэжээ. Энэ нь гурван замыг үүсгэсэн: root-ийн эрхтэй сокет руу холбогдох,

1:16 root-ийн өмчлөлийн сокетыг устгадаг алсын дамжуулалт, мөн кернел нь шалгалтын дараа замыг дахин шийдвэрлэдэг уралдаан. Tailscale-ийн мэдэгдсэнээр халдлага үйлдэгчид tailnet-д аль хэдийн байгаа төхөөрөмж дээр хөл тавих цэг хэрэгтэй бөгөөд SSH болон дамжуулалт хоёулаа бодлогоор зөвшөөрөгдсөн байх ёстой. Засвар нь 1.104.4 хувилбар бөгөөд дамжуулалт одоо нэвтэрсэн хэрэглэгчээр ажилладаг. Хэрэв та өнөөдөр шинэчилж чадахгүй бол, мэдэгдэлд дамжуулалтыг унтраах үйлчилгээний

1:42 тохиргоог баримтжуулсан байна. Хоёрдугаар түүх.

Хоёрдугаар түүх: Mac дээрх git яагаад eMudhra-д итгэсээр байна вэ

1:44 Өнгөрсөн Лхагва гарагт би eMudhra гэрчилгээний түлхүүрүүдийг хэлэлцсэн, мөн би байршуулсан үйлчлүүлэгчийн итгэлцлийг шалгах шаардлагатай хэвээр байна гэж хэлсэн. Apple-д мэдэгдснээс хойш долоо хоногоос илүү хугацаа өнгөрсний дараа, Деннис Жэксоны удирддаг судлаачийн сайт Mac дээрх git, curl болон python нь эдгээр завсрын гэрчилгээнүүдийг хүлээн авсаар байна гэж мэдэгдэв. Apple-ийн өөрийн дэмжлэгийн хуудас хуваагдлыг тайлбарласан. Safari, Mail болон Apple-ийн сүлжээний фреймворк дээрх апп-ууд гэрчилгээнүүдийг хаадаг, мөн 10-р сарын 19-нөөс хойш.

2:08 Гэхдээ curl, git болон python зэрэг командын мөрийн хэрэгслүүд системийн хавтас дахь гэрчилгээний файлыг уншдаг бөгөөд тэд ирээдүйн шинэчлэлт хүртэл Apple-ийн хаалтыг алгасна. Судлаачийн сайт нэмж хэлэхдээ, Даваа гарагт гарсан macOS 27.2 нь үүнийг засаагүй бөгөөд гарын авлагын арга хэмжээг буцаасан гэжээ. Apple-ийн хуудас шинэчлэлт нь уг файлыг орлуулж болно гэж хэлсэн, мөн би засварын огноог олоогүй. Tailscale-ийн эдгээр түлхүүрүүдийн талаарх мэдэгдэл, 10-р сарын 21-нээс, түүний үйлчлүүлэгч системийн сангаас итгэсэн бүх зүйлд итгэдэг болохыг тайлбарласан.

2:38 Хэрэв та Mac дээр бүтээдэг эсвэл Mac CI runner ажиллуулдаг бол, судлаачдын шалгалтыг өөрийн git дээр ажиллуулаад, дараа нь Apple-ийн алхмуудыг дагана уу, энэ нь уг файлаас хоёр хүртэлх root гэрчилгээг устгадаг. Apple энэ нь зарим сайтуудыг эвдэж болно, мөн шинэчлэлт нь үүнийг буцааж болно гэж анхааруулсан, тиймээс шинэчлэлт болгоны дараа дахин шалгаарай.

Гуравдугаар түүх: Discord нийтийн серверүүдийг вэб хайлт руу шилжүүлж байна

2:54 Гуравдугаар түүх. Мягмар гарагт Discord Discoverable Server-ийн хэлэлцүүлгүүдийг вэб хайлтаас олоход илүү хялбар болгоно гэж мэдэгдсэн. Эдгээр нь түүний хамгийн нийтийн серверүүд бөгөөд дор хаяж мянган гишүүнтэй, мөн Discord тэдгээрийн жаран гурван мянга гаруйг тоолдог. Огноог энд байна. Админ болон гишүүний хяналтууд Мягмар гарагаас эхлэн нэвтэрч эхэлсэн. 11-р сарын 16-нд Discoverable Server болгон нийтийн вэб хуудастай болох бөгөөд автомат сувгийн хураангуйнууд гарч эхэлж болно.

3:18 12-р сарын дундаас эхлэн нийтийн сувгийн мессежүүд вэб хайлтад ч гарч болно, хэрэв серверийн админууд зөвшөөрвөл хэрэглэгчийн нэр, аватаргүйгээр. Үндсэн утгууд чухал. Хэрэв админ юу ч өөрчлөхгүй бол нийтийн сувгууд хэвээр үлдэнэ. Гишүүд Data and Privacy тохиргоонд шилжүүлэгтэй болно. Ихэнх газарт асаалттай эхэлдэг бөгөөд зургаан газарт үндсэн утгаараа унтраалттай байдаг, Европын Холбоо болон Их Британийг оролцуулаад. Өсвөр насны бүртгэлүүд хасагдсан бөгөөд 12-р сарын дундаас өмнөх мессежүүд тооцогдохгүй.

3:48 Анхаарах хоёр нарийн ширийн зүйл. Гишүүний шилжүүлэг нь мессежүүдийг хамрах бөгөөд сувгийн хураангуйнууд тусдаа үүсгэгддэг бөгөөд админ унтраахгүй бол асаалттай хэвээр байна. Мөн шилжүүлэг асаалттай байхад илгээсэн мессеж та устгахгүй бол харагдсаар байна. Хэрэв та олон нийтийн сүлжээ ажиллуулдаг бол 11-р сарын 16-наас өмнө серверийн тохиргоон дахь Web Presence-ийг нээнэ үү. Дөрөвдүгээр түүх, би баримтжуулсан зүйл дээрээ тулгуурлана.

Дөрөвдүгээр түүх: зохиогчид, Клод болон хоёр дахь нэхэмжлэл

4:08 10-р сарын 26-нд би Anthropic-ийн баримт бичгийг хэлэлцсэн, энэ нь зохиогчидтой 1.5 тэрбум долларын тохиролцоог жагсаасан. Stanford Daily Тобиас Вольф зэрэг профессорууд уг тохиролцооноос татгалзаж, тусад нь шүүхэд өгч байна гэж мэдээлсэн. Daily-ийн мэдээлснээр, тохиролцоо нь бараг 500,000 бүтээлийн хувьд, нэг бүтээлд ойролцоогоор гурван мянган доллар болж байна. Татгалзах нэхэмжлэл нь шүүхийн тангарагтныг нэг бүтээлд зуун тавин мянган доллар хүртэлх хууль ёсны хохирол, тавь дахин их, мөн нэхэмжлэгчдийн номнуудаар

4:37 сургалт хийхийг хориглох тушаал гаргахыг хүсэж байна. Үндсэн шийдвэр нь гарчигнаас илүү нарийн. Шүүгч Элсап хууль ёсоор олж авсан номнуудаар сургалт хийх нь шударга хэрэглээ, мөн хулгайлагдсан хуулбаруудаас байнгын номын сан байгуулах нь үгүй гэж дүгнэсэн. Шинэ нэхэмжлэлүүд хулгайлагдсан хуулбаруудыг үндэслэлгүй гэж үзэж байгаа бөгөөд би тэдгээрийн нэхэмжлэлийн талаар шийдвэр олоогүй. 9-р сард OpenAI LibGen-ийн файлууд өөр лабораторийн талаар ижил асуулт тавьсан. Хэрэв та сургалтын өгөгдөл цуглуулдаг бол, файл бүр хаанаас ирсэн тухай бүртгэл хөтлөөрэй. Файл бүр хаанаас ирсэн тухай бүртгэл хөтлөөрэй. Шийдвэр нь хууль ёсоор олж авсан номнуудыг хулгайлагдсан хуулбаруудаас ялгасан,

5:07 тиймээс хуулбарын эх сурвалж танаас асуугдах асуулт байх болно. Нэр рүү буцъя. Tailscale-ийн мэдэгдсэнээр тайланд байгаа юу ч өөрөө тархдаггүй. Энэ нь замыг хөндлөн хөдөлгөөн гэж нэрлэсэн бөгөөд tailnet-ийн бодлогоор аль хэдийн зөвшөөрөгдсөн холболтуудаар хязгаарлагддаг, мөн халдлага үйлдэгчийн аль хэдийн эзэмшилд байгаа төхөөрөмжөөс л үүсдэг. Судлаачийн хуудас нь алдааг бага хүчин чармайлтаар олсон гэж хариулжээ. Хоёулаа үнэн байж болно, засвар нь ямар ч байсан гарсан. Хэрэв та үүнийг сонсохоос илүү уншихыг хүсвэл, diff өглөө бүр таны имэйлд үнэгүй

5:31 ирдэг, the daily diff dot dev хаягаар, холбоос доор байна. Тиймээс өнөөдрийн дүгнэлт нь ШИНЖИЛГЭЭ ШААРДЛАГАТАЙ.

Дүгнэлт: ШИНЖИЛГЭЭ ШААРДЛАГАТАЙ

5:37 Би үүнийг шалгах байсан, учир нь Tailscale-ийн засвар гарсан ч таны серверүүд одоогоор шинэчлэгдээгүй, Apple-ийн командын мөрийн цоорхой нээлттэй хэвээр байна, Discord-ийн үндсэн утгууд 11-р сарын 16-нд асаалттай болно, мөн зохиогчдын нэхэмжлэлүүд одоо хүртэл үндэслэлгүй. Өнөөдрийн ялгаа энэ байна. Би Axrisi-ийн Нико байна. Хариуцлагатай нэгтгэнэ үү.

Эх сурвалжууд

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily