Pembetulan Tailworm Tailscale, git Mac dan sijil eMudhra, perubahan carian web Discord dan saman pengarang terhadap Anthropic: empat cerita pembangun dalam satu The Daily Diff

Apa yang diliputi video ini

• Tailscale (entri blog, 28 Oktober 2026) mengatakan ia menerima laporan Tailworm, yang diterbitkan oleh penyelidik Erica Windisch dari Cyberdione Labs, pada pagi Sabtu, 24 Oktober, dan penyelidik itu menerbitkannya dua jam kemudian. Versi yang diuji adalah Tailscale 1.104.2 dan headscale 0.29.5. Pembetulan Tailscale berada dalam versi 1.104.4, dengan empat buletin keselamatan bernombor TS-2026-014 hingga TS-2026-017.
• Buletin Tailscale mengenai penghantaran soket Unix SSH mengatakan pelayan SSH dalam proses tailscaled dengan keistimewaan root mengesahkan laluan soket secara leksikal tetapi melakukan operasi sebagai root, yang membenarkan panggilan istimewa melalui penghantaran tempatan, penghapusan soket milik root melalui penghantaran jauh, dan satu perlumbaan di mana kernel menyelesaikan semula laluan selepas pemeriksaan. Sasaran yang boleh dicapai termasuk soket Docker dan API tempatan tailscaled. Tailscale kini menghantar soket sebagai pengguna yang disahkan. Sehingga dikemas kini, menetapkan pemboleh ubah persekitaran TS_SSH_DISABLE_FORWARDING yang didokumentasikan kepada 1 melumpuhkan penghantaran tanpa melumpuhkan Tailscale SSH.
• Tailscale mengatakan eksploitasi memerlukan pijakan sedia ada pada peranti yang dibenarkan dalam tailnet, dengan akses SSH dan penghantaran dibenarkan oleh polisi, dan bahawa laluan tersebut adalah pergerakan lateral yang terhad kepada sambungan yang dibenarkan oleh polisi, dan tidak menerangkan cacing yang mereplikasi diri. Halaman penyelidik mengatakan kelemahan ditemui dengan usaha yang rendah.
• Sebuah tapak penyelidik yang dikendalikan oleh Dennis Jackson dengan penyumbang komuniti mengatakan Apple telah diberitahu mengenai insiden sijil perantara eMudhra pada 17 Oktober dan setakat 28 Oktober, git, curl dan python3 yang dihantar bersama macOS masih menerima sijil yang dikompromi; ia juga mengatakan macOS 27.2, yang dikeluarkan pada 26 Oktober, tidak membetulkan isu tersebut dan membatalkan penyelesaian manual. Halaman sokongan Apple mengesahkan pemisahan: sejak 19 Oktober Safari, Mail dan aplikasi pada rangka kerja Apple menyekat sijil, manakala alat seperti curl, git, python3, ruby, perl dan openssl yang menyemak /etc/ssl/cert.pem masih boleh menerimanya sehingga kemas kini akan datang. Halaman Apple memberikan langkah manual pilihan dan memberi amaran bahawa kemas kini boleh menggantikan fail tersebut.
• Entri blog Discord (27 Oktober 2026) mengatakan semua Pelayan Boleh Ditemui, yang memerlukan sekurang-kurangnya 1,000 ahli dan berjumlah lebih daripada 63,000, akan mempunyai Halaman Web Pelayan awam mulai 16 November 2026, dengan Ringkasan Saluran automatik boleh bermula pada hari yang sama. Mulai pertengahan Disember 2026, mesej dari saluran awam yang dibenarkan pentadbir boleh muncul di Halaman Web Pelayan dan dalam carian web tanpa nama pengguna atau avatar. Jika pentadbir tidak mengubah apa-apa, saluran awam kekal aktif. Kawalan pentadbir (Tetapan Pelayan, Kehadiran Web) dan suis ahli (Tetapan Pengguna, Data dan Privasi) kini tersedia; tetapan ahli dimatikan secara lalai di EU, UK, Kanada, Brazil, Australia dan Korea Selatan, dan akaun remaja dikecualikan.
• The Stanford Daily (27 Oktober 2026) melaporkan bahawa profesor termasuk Tobias Wolff memilih keluar daripada penyelesaian Bartz lwn. Anthropic bernilai $1.5 bilion, yang merangkumi hampir 500,000 karya berdaftar pada kira-kira $3,000 setiap karya, dan menyaman Anthropic secara berasingan, menuntut perbicaraan juri, ganti rugi berkanun sehingga $150,000 setiap karya dan injuksi terhadap latihan buku mereka. Artikel tersebut meringkaskan keputusan Hakim William Alsup sebelum ini yang mendapati latihan atas buku yang diperoleh secara sah adalah penggunaan adil dan membina perpustakaan kekal daripada salinan cetak rompak tidak. Saman baharu adalah dakwaan; tiada keputusan mengenai tuntutan mereka ditemui.

Transkrip terjemahan

Diterjemahkan daripada penceritaan asal Bahasa Inggeris. Audio dan kapsyen yang tersedia dikawal oleh YouTube.

Pembukaan dingin: sesi SSH Tailscale dan soket khusus root

0:00 Log masuk SSH Tailscale memastikan anda berada dalam akaun pengguna anda sendiri. Laporan yang diterbitkan pada hari Sabtu menerangkan sesi yang mencapai soket hanya root patut sentuh, dan Tailscale telah mengeluarkan pembetulan minggu ini. Dalam video ini, empat cerita. Apa yang boleh dicapai oleh sesi SSH Tailscale? Mengapa git pada Mac masih mempercayai sijil yang telah dibatalkan? Apa yang berubah untuk pelayan Discord awam pada enam belas November? Dan apa yang dituntut oleh pengarang dalam tuntutan mahkamah mereka terhadap Anthropic?

0:27 Ada juga sebab Tailscale menolak nama laporan itu. Saya akan simpannya untuk di akhir. Ini hari Rabu, dua puluh lapan Oktober, dan ini The Daily Diff. Tailscale menghubungkan mesin anda ke dalam satu rangkaian peribadi, dan Tailscale SSH adalah pelayan SSH terbina dalamnya, yang menyemak Tailscale anda identiti dan bukannya fail kunci. Ia berjalan dalam proses dengan keistimewaan root. Bayangkan seorang pengawal pintu yang juga memegang kunci induk.

Cerita satu: apa yang boleh dicapai oleh sesi SSH Tailscale

0:50 Cerita satu. Penyelidik keselamatan Erica Windisch menguji Tailscale satu titik satu oh empat titik dua selama tiga hari dan menerbitkan laporan yang dipanggil Tailworm. Tailscale mengatakan laporan itu sampai kepadanya pada pagi Sabtu, dan penyelidik itu menerbitkan dua jam kemudian. Penemuan utama adalah penghantaran soket. Buletin Tailscale sendiri mengatakan pelayan SSHnya berjalan sebagai root, memeriksa laluan soket mengikut teksnya, dan kemudian melakukan kerja sebagai root. Itu memberi tiga laluan: sambungan ke soket khusus root,

1:16 penghantaran jauh yang memadam soket milik root, dan perlumbaan di mana kernel menyelesaikan laluan itu lagi selepas pemeriksaan. Tailscale mengatakan penyerang memerlukan pijakan pada peranti yang sudah ada dalam tailnet, dengan SSH dan penghantaran kedua-duanya dibenarkan oleh polisi. Pembetulannya adalah versi satu titik satu oh empat titik empat, dan penghantaran kini berjalan sebagai pengguna yang log masuk. Jika anda tidak dapat mengemas kini hari ini, buletin mendokumenkan tetapan perkhidmatan yang mematikan

1:42 penghantaran. Cerita dua.

Cerita dua: mengapa git pada Mac masih mempercayai eMudhra

1:44 Rabu lalu saya membincangkan kunci sijil eMudhra, dan saya berkata kepercayaan pelanggan yang digunakan masih perlu diperiksa. Lebih seminggu selepas Apple diberitahu, tapak penyelidik yang dikendalikan oleh Dennis Jackson mengatakan git, curl dan python pada Mac masih menerima sijil daripada perantara tersebut. Halaman sokongan Apple sendiri menerangkan pemisahan itu. Safari, Mail dan aplikasi pada rangka kerja rangkaian Apple menyekat sijil, dan telah berbuat demikian sejak sembilan belas Oktober.

2:08 Tetapi alat baris arahan seperti curl, git dan python membaca fail sijil dalam folder sistem, dan mereka melangkau sekatan Apple sehingga kemas kini akan datang. Tapak penyelidik menambah bahawa macOS dua puluh tujuh titik dua, yang dikeluarkan pada hari Isnin, tidak membetulkannya dan membatalkan penyelesaian manual. Halaman Apple mengatakan kemas kini boleh menggantikan fail itu, dan saya tidak menemui tarikh untuk pembetulan tersebut. Buletin Tailscale mengenai kunci ini, dari dua puluh satu Oktober, menerangkan bahawa pelanggannya mempercayai apa sahaja yang dipercayai oleh stor sistem.

2:38 Jika anda membina di Mac atau menjalankan pelari CI Mac, jalankan pemeriksaan penyelidik terhadap git anda sendiri, kemudian ikuti langkah-langkah Apple, yang membuang sehingga dua sijil root daripada fail itu. Apple memberi amaran bahawa ia boleh merosakkan beberapa tapak, dan kemas kini boleh membatalkannya, jadi semak semula selepas setiap kemas kini.

Cerita tiga: Discord memindahkan pelayan awam ke carian web

2:54 Cerita tiga. Pada hari Selasa Discord mengumumkan bahawa perbincangan dalam Discoverable Pelayan akan menjadi lebih mudah dicari dalam carian web. Itu adalah pelayan awamnya yang paling banyak, dengan sekurang-kurangnya seribu ahli, dan Discord mengira lebih daripada enam puluh tiga ribu daripadanya. Berikut adalah tarikhnya. Kawalan pentadbir dan ahli mula dilancarkan pada hari Selasa. Pada enam belas November setiap Pelayan Boleh Ditemui mendapat halaman web awam, dan ringkasan saluran automatik boleh mula muncul di atasnya.

3:18 Mulai pertengahan Disember, mesej dari saluran awam juga boleh ditunjukkan dalam carian web, tanpa nama pengguna atau avatar, jika pentadbir pelayan membenarkannya. Nilai lalai penting. Jika pentadbir tidak mengubah apa-apa, saluran awam kekal aktif. Ahli mendapat suis dalam tetapan Data dan Privasi. Ia bermula aktif di kebanyakan tempat dan tidak aktif secara lalai di enam tempat, termasuk Kesatuan Eropah dan United Kingdom. Akaun remaja dikecualikan, dan mesej dari sebelum pertengahan Disember tidak dikira.

3:48 Dua butiran untuk diperhatikan. Suis ahli meliputi mesej, manakala ringkasan saluran dijana secara berasingan dan kekal aktif melainkan pentadbir mematikannya. Dan mesej yang dihantar semasa suis aktif kekal kecuali anda memadamnya. Jika anda mengendalikan komuniti, buka Web Presence dalam tetapan pelayan sebelum November enam belas. Cerita empat, dan saya akan berpegang kepada apa yang didokumentasikan.

Cerita empat: pengarang, Claude dan tuntutan mahkamah kedua

4:08 Pada dua puluh enam Oktober saya membincangkan fail Anthropic, yang menyenaraikan penyelesaian satu titik lima bilion dolar dengan pengarang. The Stanford Daily melaporkan bahawa profesor termasuk Tobias Wolff memilih keluar daripada penyelesaian itu dan menyaman secara berasingan. Menurut Daily, penyelesaian itu berjumlah kira-kira tiga ribu dolar setiap karya, merangkumi hampir lima ratus ribu karya. Saman "opt-out" meminta juri untuk ganti rugi berkanun sehingga seratus lima puluh ribu dolar setiap karya, lima puluh kali lebih banyak, ditambah dengan perintah terhadap latihan pada

4:37 buku-buku plaintif. Keputusan di bawah adalah lebih sempit daripada tajuk utama. Hakim Alsup mendapati bahawa latihan pada buku yang diperoleh secara sah adalah penggunaan adil, dan bahawa membina perpustakaan kekal daripada salinan cetak rompak tidak. Saman baharu mendakwa salinan cetak rompak, dan saya tidak menemui keputusan mengenai tuntutan mereka. Pada bulan September, fail OpenAI LibGen membangkitkan soalan yang sama mengenai makmal lain. Jika anda mengumpulkan data latihan, simpan rekod dari mana setiap fail berasal. Keputusan itu memisahkan buku yang diperoleh secara sah daripada salinan cetak rompak,

5:07 jadi sumber salinan adalah soalan yang akan ditanya kepada anda. Kembali kepada nama itu. Tailscale mengatakan tiada apa-apa dalam laporan itu yang tersebar dengan sendirinya. Ia memanggil laluan pergerakan lateral, terhad kepada sambungan yang dibenarkan oleh polisi tailnet sudah membenarkan, dan hanya dari peranti yang sudah dipegang oleh penyerang. Halaman penyelidik membalas bahawa kelemahan ditemui dengan usaha yang rendah. Kedua-duanya boleh benar, dan pembetulan telah dikeluarkan walau apa pun. Jika anda lebih suka membaca ini daripada mendengar saya mengatakannya, diff itu mendarat di peti masuk anda

5:31 setiap pagi, percuma di the daily diff dot dev, pautan di bawah. Jadi keputusan hari ini adalah PERLU SEMAKAN.

Keputusan: PERLU SEMAKAN

5:37 Saya akan menyemaknya kerana pembetulan Tailscale telah dikeluarkan tetapi pelayan anda belum dikemas kini lagi, jurang baris arahan Apple masih terbuka, nilai lalai Discord bertukar pada enam belas November, dan tuntutan pengarang masih dakwaan. Dan itulah perbezaan untuk hari ini. Saya Niko dari Axrisi. Gabungkan dengan bertanggungjawab.

Sumber

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily