Tailscales Tailworm-fikser, Mac git og eMudhra-sertifikatene, Discords endring av nettsøk og forfatternes søksmål mot Anthropic: fire utviklerhistorier i én Daily Diff

Hva denne videoen dekker

• Tailscale (blogginnlegg, 28. oktober 2026) sier de mottok Tailworm-rapporten, publisert av forsker Erica Windisch fra Cyberdione Labs, morgenen lørdag 24. oktober, og at forskeren publiserte den to timer senere. De testede versjonene var Tailscale 1.104.2 og headscale 0.29.5. Tailscales fikser er i versjon 1.104.4, med fire sikkerhetsbulletiner nummerert TS-2026-014 til TS-2026-017.
• Tailscales bulletin om SSH Unix-socketvideresending sier at SSH-serveren i den root-privilegerte tailscaled-prosessen validerte socket-stier leksikalsk, men utførte operasjonene som root, noe som tillot privilegerte oppringninger via lokal videresending, sletting av root-eide sockets via fjernvideresending, og et race der kjernen løser opp stien på nytt etter sjekken. Tilgjengelige mål inkluderte Docker-socketen og tailscaled lokale API. Tailscale videresender nå sockets som den autentiserte brukeren. Inntil oppdatert, deaktiverer innstilling av den dokumenterte TS_SSH_DISABLE_FORWARDING miljøvariabelen til 1 videresending uten å deaktivere Tailscale SSH.
• Tailscale sier utnyttelse krever et eksisterende fotfeste på en autorisert enhet i tailnet, med SSH-tilgang og videresending tillatt av policy, og at stien er lateral bevegelse begrenset til tilkoblinger som policyen tillater, og beskriver ikke en selvreplikerende orm. Forskerens side sier at feilene ble funnet med lav innsats.
• Et forskernettsted drevet av Dennis Jackson med bidragsytere fra fellesskapet sier at Apple ble varslet om eMudhra-mellomliggende sertifikathendelsen 17. oktober, og at git, curl og python3 levert med macOS per 28. oktober fortsatt godtar de kompromitterte sertifikatene; det sier også at macOS 27.2, utgitt 26. oktober, ikke fikset problemet og reverserte manuelle omgåelser. Apples støtteside bekrefter splittelsen: siden 19. oktober blokkerer Safari, Mail og apper på Apples rammeverk sertifikatene, mens verktøy som curl, git, python3, ruby, perl og openssl som sjekker /etc/ssl/cert.pem, fortsatt kan godta dem inntil en fremtidig oppdatering. Apples side gir valgfrie manuelle trinn og advarer om at en oppdatering kan erstatte filen.
• Discords blogginnlegg (27. oktober 2026) sier at alle Discoverable Servers, som trenger minst 1000 medlemmer og teller over 63 000, vil få en offentlig Server Web Page fra 16. november 2026, med automatiserte kanaloppsummeringer som kan starte samme dag. Fra midten av desember 2026 kan meldinger fra admin-tillatte offentlige kanaler vises på Server Web Pages og i nettsøk uten brukernavn eller avatarer. Hvis administratorer ikke endrer noe, forblir offentlige kanaler på. Admin-kontroller (Serverinnstillinger, Nettnærvær) og medlemsbryteren (Brukerinnstillinger, Data og personvern) er tilgjengelige nå; medlemsinnstillingen er av som standard i EU, Storbritannia, Canada, Brasil, Australia og Sør-Korea, og tenåringskontoer er ekskludert.
• Stanford Daily (27. oktober 2026) rapporterer at professorer, inkludert Tobias Wolff, valgte å ikke delta i Bartz v. Anthropic-forliket på 1,5 milliarder dollar, som dekker nesten 500 000 registrerte verk til rundt 3000 dollar per verk, og saksøker Anthropic separat, og krever en juryrettssak, lovbestemt erstatning på opptil 150 000 dollar per verk og et påbud mot trening på bøkene deres. Artikkelen oppsummerer dommer William Alsups tidligere avgjørelse som at trening på lovlig anskaffede bøker var rettferdig bruk og bygging av et permanent bibliotek fra piratkopierte eksemplarer ikke var det. De nye søksmålene er påstander; ingen avgjørelse om deres krav ble funnet.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Kald åpning: en Tailscale SSH-økt og root-only-sockets

0:00 En Tailscale SSH-innlogging holder deg inne i din egen brukerkonto. En rapport publisert på lørdag beskriver økter som når sockets som bare root skal berøre, og Tailscale sendte ut fikser denne uken. I denne videoen, fire historier. Hva kunne en Tailscale SSH-økt nå? Hvorfor stoler git på en Mac fortsatt på tilbakekalte sertifikater? Hva endres for offentlige Discord-servere sekstende november? Og hva hevder forfattere i sine søksmål mot Anthropic?

0:27 Det er også en grunn til at Tailscale protesterer mot navnet på den rapporten. Jeg vil spare det til slutt. Det er onsdag, tjuendeåttende oktober, og dette er The Daily Diff. Tailscale kobler maskinene dine til ett privat nettverk, og Tailscale SSH er dens innebygde SSH-server, som sjekker din Tailscale-identitet i stedet for en nøkkel fil. Den kjører inne i en prosess med root-privilegier. Tenk på en dørvakt som også har hovednøkkelen.

Historie én: hva en Tailscale SSH-økt kunne nå

0:50 Historie én. Sikkerhetsforsker Erica Windisch testet Tailscale én komma en null fire komma to i tre dager og publiserte en rapport kalt Tailworm. Tailscale sier rapporten nådde dem lørdag morgen, og forskeren publiserte to timer senere. Hovedfunnet er socket-videresending. Tailscales egen bulletin sier at SSH-serveren deres kjører som root, sjekket socket-stier etter teksten, og deretter utførte arbeidet som root. Det ga tre ruter: en forbindelse til en root-only socket,

1:16 en fjern-videresending som sletter en root-eid socket, og et race der kjernen løser opp stien igjen etter sjekken. Tailscale sier en angriper trenger et fotfeste på en enhet som allerede er i tailnet, med SSH og videresending begge tillatt av policy. Fixen er versjon én komma en null fire komma fire, og videresending kjører nå som den innloggede brukeren. Hvis du ikke kan oppdatere i dag, dokumenterer bulletinen en tjenesteinnstilling som slår

1:42 videresending av. Historie to.

Historie to: hvorfor git på en Mac fortsatt stoler på eMudhra

1:44 Sist onsdag dekket jeg eMudhra-sertifikatnøklene, og jeg sa at den utplasserte klientens tillit fortsatt måtte sjekkes. Mer enn en uke etter at Apple ble informert, sier et forskernettsted drevet av Dennis Jackson at git, curl og python på en Mac fortsatt aksepterer sertifikater fra de mellomliggende. Apples egen støtteside beskriver splittelsen. Safari, Mail og apper på Apples nettverksrammeverk blokkerer sertifikatene, og har gjort det siden nittende oktober.

2:08 Men kommandolinjeverktøy som curl, git og python leser en sertifikatfil i systemmappen, og de hopper over Apples blokkering frem til en fremtidig oppdatering. Forskerens nettsted legger til at macOS tjuesju komma to, utgitt mandag, fikset det ikke og reverserte den manuelle omgåelsen. Apples side sier at en oppdatering kan erstatte den filen, og jeg fant ingen dato for fiksen. Tailscales bulletin om disse nøklene, fra tjueførste oktober, forklarer at klienten stoler på hva systemlagringen stoler på.

2:38 Hvis du bygger på en Mac eller kjører Mac CI-runner, kjør forskernes sjekk mot din egen git, og følg deretter Apples trinn, som fjerner opptil to root-sertifikater fra den filen. Apple advarer om at det kan bryte noen nettsteder, og en oppdatering kan angre det, så sjekk igjen etter hver oppdatering.

Historie tre: Discord flytter offentlige servere inn i nettsøk

2:54 Historie tre. På tirsdag annonserte Discord at diskusjoner i Discoverable Servers vil bli lettere å finne i nettsøk. Dette er deres mest offentlige servere, med minst tusen medlemmer, og Discord teller mer enn sekstitre tusen av dem. Her er datoene. Admin- og medlemskontroller begynte å rulles ut tirsdag. Den sekstende november får hver Discoverable Server en offentlig nettside, og automatiserte kanaloppsummeringer kan begynne å vises på den.

3:18 Fra midten av desember kan meldinger fra offentlige kanaler også vises i nettsøk, uten brukernavn eller avatarer, hvis serverens administratorer tillater det. Standardinnstillingene er viktige. Hvis en administrator ikke endrer noe, forblir offentlige kanaler på. Medlemmer får en bryter i innstillingene for data og personvern. Den starter på de fleste steder og av som standard i seks, inkludert EU og Storbritannia. Tenåringskontoer er ekskludert, og meldinger fra før midten av desember teller ikke.

3:48 To detaljer å følge med på. Medlemsbryteren dekker meldinger, mens kanaloppsummeringer genereres separat og forblir på med mindre en administrator slår dem av. Og en melding sendt mens bryteren var på, forblir synlig med mindre du sletter den. Hvis du driver et fellesskap, åpne Web Presence i serverinnstillingene før sekstende november. Historie fire, og jeg vil holde meg til det som er dokumentert.

Historie fire: forfattere, Claude og et andre søksmål

4:08 Den tjuesjette oktober dekket jeg Anthropic-innleveringen, som lister opp et forlik på én komma fem milliarder dollar med forfattere. Stanford Daily rapporterer at professorer, inkludert Tobias Wolff, valgte å ikke delta i det forliket og saksøker separat. Ifølge Daily utgjør forliket omtrent tre tusen dollar per verk, fordelt på nesten fem hundre tusen verk. Søksmålet fra de som valgte å ikke delta, ber en jury om lovbestemt erstatning på opptil hundre og femti tusen dollar per verk, femti ganger mer, pluss en ordre mot trening på

4:37 saksøkernes bøker. Dommen under er snevrere enn overskriften. Dommer Alsup fant at trening på lovlig anskaffede bøker var rimelig bruk, og at det å bygge et permanent bibliotek fra piratkopierte eksemplarer ikke var det. De nye søksmålene hevder piratkopierte eksemplarer, og jeg fant ingen dom på deres krav. I september reiste OpenAI LibGen-filene det samme spørsmålet om et annet laboratorium. Hvis du setter sammen treningsdata, behold en oversikt over hvor hver fil kom fra. Dommen skilte lovlig anskaffede bøker fra piratkopierte eksemplarer,

5:07 så kilden til kopiene er spørsmålet du vil bli stilt. Tilbake til navnet. Tailscale sier at ingenting i rapporten sprer seg av seg selv. De kaller veien lateral bevegelse, begrenset til forbindelser som tailnet-policyen allerede tillater, og bare fra en enhet angriperen allerede besitter. Forskerens side svarer at feilene ble funnet med lav innsats. Begge kan være sanne, og fiksen er ute uansett. Hvis du heller vil lese dette enn å høre meg si det, lander diffen i innboksen din

5:31 hver morgen, gratis på the daily diff dot dev, lenke nedenfor. Så dagens dom er NEEDS REVIEW.

Dom: NEEDS REVIEW

5:37 Jeg vil se på den fordi Tailscales fiks er ute, men serverne dine er ikke oppdatert ennå, Apples kommandolinje-gap er fortsatt åpent, Discords standardinnstillinger slår på sekstende november, og forfatternes krav er fortsatt påstander. Og det var det for i dag. Jeg er Niko fra Axrisi. Slå sammen ansvarlig.

Kilder

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily