Opravy Tailworm pre Tailscale, git pre Mac a certifikáty eMudhra, zmena webového vyhľadávania Discordu a žaloby autorov proti Anthropic: štyri príbehy vývojárov v jednom Daily Diff

Čo toto video pokrýva

• Tailscale (blogový príspevok, 28. októbra 2026) uvádza, že správu Tailworm, ktorú zverejnila výskumníčka Erica Windisch z Cyberdione Labs, dostala v sobotu ráno 24. októbra a že výskumníčka ju zverejnila o dve hodiny neskôr. Testované verzie boli Tailscale 1.104.2 a headscale 0.29.5. Opravy spoločnosti Tailscale sú vo verzii 1.104.4 so štyrmi bezpečnostnými bulletinmi s číslami TS-2026-014 až TS-2026-017.
• Bulletín spoločnosti Tailscale o presmerovaní SSH Unix socketu uvádza, že server SSH v procese tailscaled s oprávneniami root lexikálne overoval cesty k socketom, ale vykonával operácie ako root, čo umožňovalo privilegované pripojenia cez lokálne presmerovanie, vymazanie root-vlastnených socketov cez vzdialené presmerovanie a preteky, kde jadro znovu vyriešilo cestu po kontrole. Dosiahnuteľné ciele zahŕňali socket Docker a lokálne API tailscaled. Tailscale teraz presmeruje sockety ako overený používateľ. Pred aktualizáciou nastavenie zdokumentovanej premennej prostredia TS_SSH_DISABLE_FORWARDING na 1 zakáže presmerovanie bez vypnutia Tailscale SSH.
• Tailscale hovorí, že na zneužitie je potrebné existujúce oporné body na autorizovanom zariadení v tailnete, s povoleným prístupom SSH a presmerovaním podľa politiky, a že cesta je laterálny pohyb obmedzený na pripojenia, ktoré politika povoľuje, a neopisuje samoreplikujúceho sa červa. Stránka výskumníka uvádza, že chyby boli nájdené s malým úsilím.
• Webová stránka výskumníka, ktorú spravuje Dennis Jackson s prispievateľmi komunity, uvádza, že spoločnosť Apple bola o incidente s prechodným certifikátom eMudhra informovaná 17. októbra a že k 28. októbru git, curl a python3 dodávané s macOS stále prijímajú kompromitované certifikáty; tiež uvádza, že macOS 27.2, vydaný 26. októbra, problém nevyriešil a zrušil manuálne obchádzkové riešenia. Stránka podpory spoločnosti Apple potvrdzuje rozdelenie: od 19. októbra Safari, Mail a aplikácie na platformách spoločnosti Apple blokujú certifikáty, zatiaľ čo nástroje ako curl, git, python3, ruby, perl a openssl, ktoré kontrolujú /etc/ssl/cert.pem, ich môžu stále prijímať až do budúcej aktualizácie. Stránka spoločnosti Apple uvádza voliteľné manuálne kroky a varuje, že aktualizácia môže súbor nahradiť.
• Blogový príspevok Discordu (27. októbra 2026) uvádza, že všetky servery Discoverable, ktoré potrebujú aspoň 1 000 členov a ktorých je viac ako 63 000, budú mať verejnú webovú stránku servera od 16. novembra 2026, s automatickými súhrnmi kanálov, ktoré sa môžu začať v ten istý deň. Od polovice decembra 2026 sa správy z verejných kanálov povolených správcami môžu objaviť na webových stránkach serverov a vo webovom vyhľadávaní bez užívateľských mien alebo avatarov. Ak správcovia nič nezmenia, verejné kanály zostanú zapnuté. Ovládacie prvky správcu (Nastavenia servera, Webová prítomnosť) a prepínač člena (Nastavenia užívateľa, Údaje a súkromie) sú dostupné už teraz; nastavenie člena je predvolene vypnuté v EÚ, Spojenom kráľovstve, Kanade, Brazílii, Austrálii a Južnej Kórei a účty pre tínedžerov sú vylúčené.
• Stanford Daily (27. októbra 2026) uvádza, že profesori vrátane Tobiasa Wolffa sa odhlásili z urovnania Bartz v. Anthropic vo výške 1,5 miliardy dolárov, ktoré pokrýva takmer 500 000 registrovaných diel za približne 3 000 dolárov za dielo, a žalujú Anthropic samostatne, žiadajúc súdne konanie pred porotou, zákonné náhrady škody až do výšky 150 000 dolárov za dielo a súdny príkaz proti trénovaniu na ich knihách. Článok sumarizuje predchádzajúce rozhodnutie sudcu Williama Alsupa ako zistenie, že trénovanie na legálne získaných knihách bolo spravodlivé použitie a budovanie trvalej knižnice z pirátskych kópií nebolo. Nové žaloby sú obvineniami; žiadne rozhodnutie o ich nárokoch sa nenašlo.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Úvod: SSH relácia Tailscale a sockety iba pre root

0:00 Prihlásenie cez Tailscale SSH vás udrží vo vašom vlastnom používateľskom účte. Správa zverejnená v sobotu opisuje relácie dosahujúce sockety iba pre root by sa mali dotýkať, a Tailscale tento týždeň dodal opravy. V tomto videu štyri príbehy. Čo mohla dosiahnuť SSH relácia Tailscale? Prečo git na Macu stále dôveruje zrušeným certifikátom? Čo sa zmení pre verejné servery Discordu 16. novembra? A čo tvrdia autori vo svojich žalobách proti Anthropic?

0:27 Je tu aj dôvod, prečo Tailscale odmieta názov tejto správy. Nechám si to na koniec. Je streda, 28. október, a toto je The Daily Diff. Tailscale spája vaše stroje do jednej súkromnej siete, a Tailscale SSH je jeho vstavaný SSH server, ktorý kontroluje váš Tailscale identitu namiesto súboru kľúčov. Beží v procese s oprávneniami root. Predstavte si vrátnika, ktorý drží aj hlavný kľúč.

Príbeh prvý: čo mohla dosiahnuť SSH relácia Tailscale

0:50 Príbeh prvý. Bezpečnostná výskumníčka Erica Windisch testovala Tailscale 1.10 4.2 tri dni a zverejnila správu nazvanú Tailworm. Tailscale hovorí, že správa k nim dorazila v sobotu ráno, a výskumníčka ju zverejnila o dve hodiny neskôr. Hlavným zistením je presmerovanie socketov. Vlastný bulletin spoločnosti Tailscale uvádza, že jej SSH server beží ako root, kontroloval cesty k socketom podľa ich textu a potom vykonával prácu ako root. To poskytlo tri cesty: pripojenie k socketu iba pre root,

1:16 vzdialené presmerovanie, ktoré vymaže socket vlastnený rootom, a preteky, kde jadro vyrieši cestu znova po kontrole. Tailscale hovorí, že útočník potrebuje oporný bod na zariadení už v tailnete, s povoleným SSH a presmerovaním podľa politiky. Oprava je verzia 1.104.4 a presmerovanie teraz beží ako prihlásený používateľ. Ak nemôžete aktualizovať dnes, bulletin dokumentuje nastavenie služby, ktoré vypne

1:42 presmerovanie. Príbeh druhý.

Príbeh druhý: prečo git na Macu stále dôveruje eMudhre

1:44 Minulú stredu som pokryl kľúče certifikátov eMudhra, a povedal som, že dôvera nasadeného klienta si stále vyžaduje kontrolu. Viac ako týždeň po tom, čo bola spoločnosť Apple informovaná, webová stránka výskumníka, ktorú prevádzkuje Dennis Jackson, tvrdí, že git, curl a python na Macu stále prijímajú certifikáty od týchto prostredníkov. Vlastná stránka podpory spoločnosti Apple opisuje rozdelenie. Safari, Mail a aplikácie na sieťové frameworky spoločnosti Apple blokujú certifikáty, a to od 19. októbra.

2:08 Ale nástroje príkazového riadku ako curl, git a python čítajú súbor certifikátov v systémovom priečinku a preskakujú blokovanie spoločnosti Apple až do budúcej aktualizácie. Webová stránka výskumníka dodáva, že macOS 27.2, vydaný v pondelok, to neopravil a zrušil manuálne obchádzkové riešenie. Stránka spoločnosti Apple uvádza, že aktualizácia môže tento súbor nahradiť, a nenašiel som dátum opravy. Bulletin spoločnosti Tailscale o týchto kľúčoch, z 21. októbra, vysvetľuje, že jeho klient dôveruje tomu, čomu dôveruje systémové úložisko.

2:38 Ak staviate na Macu alebo spúšťate Mac CI bežcov, spustite kontrolu výskumníkov proti vášmu vlastnému gitu, potom postupujte podľa krokov spoločnosti Apple, ktoré odstránia až dva koreňové certifikáty z tohto súboru. Apple varuje, že to môže narušiť niektoré stránky, a aktualizácia to môže vrátiť späť, takže po každej aktualizácii znova skontrolujte.

Príbeh tretí: Discord presúva verejné servery do webového vyhľadávania

2:54 Príbeh tretí. V utorok Discord oznámil, že diskusie v Discoverable serveroch budú ľahšie nájditeľné vo webovom vyhľadávaní. To sú jeho najverejnejšie servery, s aspoň tisíckou členov, a Discord ich počíta viac ako šesťdesiatpäťtisíc. Tu sú dátumy. Ovládacie prvky pre správcov a členov sa začali zavádzať v utorok. 16. novembra dostane každý Discoverable Server verejnú webovú stránku, a automatické súhrny kanálov sa na nej môžu začať objavovať.

3:18 Od polovice decembra sa správy z verejných kanálov môžu zobraziť aj vo webovom vyhľadávaní, bez užívateľských mien alebo avatarov, ak to správcovia servera povolia. Predvolené nastavenia sú dôležité. Ak správca nič nezmení, verejné kanály zostanú zapnuté. Členovia majú prepínač v nastaveniach Údaje a súkromie. Vo väčšine miest je predvolene zapnutý a v šiestich je predvolene vypnutý, vrátane Európskej únie a Spojeného kráľovstva. Účty pre tínedžerov sú vylúčené a správy spred polovice decembra sa nezapočítavajú.

3:48 Dva detaily, na ktoré treba dávať pozor. Prepínač člena sa týka správ, zatiaľ čo súhrny kanálov sa generujú samostatne a zostanú zapnuté, pokiaľ ich správca nevypne. A správa odoslaná, keď bol prepínač zapnutý, zostane, pokiaľ ju nevymažete. Ak spravujete komunitu, otvorte Webovú prítomnosť v nastaveniach servera pred 16. novembrom. Príbeh štvrtý, a budem sa držať toho, čo je zdokumentované.

Príbeh štvrtý: autori, Claude a druhá žaloba

4:08 26. októbra som pokryl oznámenie Anthropic, ktoré uvádza urovnanie vo výške 1,5 miliardy dolárov s autormi. Stanford Daily uvádza, že profesori vrátane Tobiasa Wolffa sa odhlásili z tohto urovnania a žalujú samostatne. Podľa Daily, urovnanie predstavuje približne tritisíc dolárov za dielo, pre takmer päťstotisíc diel. Žaloba na odhlásenie žiada porotu o zákonné náhrady škody až do výšky sto päťdesiat tisíc dolárov za dielo, päťdesiatkrát viac, plus príkaz proti trénovaniu na

4:37 knihách žalobcov. Základné rozhodnutie je užšie ako titulok. Sudca Alsup zistil, že trénovanie na legálne získaných knihách bolo spravodlivé použitie, a že budovanie trvalej knižnice z pirátskych kópií nebolo. Nové žaloby tvrdia pirátske kópie a nenašiel som žiadne rozhodnutie o ich nárokoch. V septembri súbory OpenAI LibGen vyvolali rovnakú otázku o inom laboratóriu. Ak zhromažďujete tréningové dáta, uchovávajte záznam o tom, odkiaľ každý súbor pochádza. Rozhodnutie oddelilo legálne získané knihy od pirátskych kópií,

5:07 takže pôvod kópií je otázka, ktorá vám bude položená. Späť k názvu. Tailscale hovorí, že nič v správe sa samo nerozširuje. Cestu nazýva laterálnym pohybom, obmedzeným na pripojenia, ktoré politika tailnetu už povoľuje, a len zo zariadenia, ktoré útočník už vlastní. Stránka výskumníka odpovedá, že chyby boli nájdené s malým úsilím. Oboje môže byť pravda a oprava je v každom prípade vonku. Ak si to radšej prečítate, ako by ste ma počuli hovoriť, diff pristane vo vašej schránke

5:31 každé ráno, zadarmo na thedailydiff.dev, odkaz nižšie. Takže dnešný verdikt je POTREBNÝ PREHĽAD.

Verdikt: POTREBNÝ PREHĽAD

5:37 Prehodnotil by som to, pretože oprava Tailscale je vonku, ale vaše servery ešte nie sú aktualizované, medzera v príkazovom riadku Apple je stále otvorená, predvolené nastavenia Discordu sa prepnú 16. novembra a tvrdenia autorov sú stále obvineniami. A to je dnešný rozdiel. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily