Popravki Tailworm v Tailscale, git in eMudhra certifikati v Macu, spremembe spletnega iskanja Discorda in tožbe avtorjev proti Anthropicu: štiri zgodbe za razvijalce v enem Daily Diffu

Kaj zajema ta videoposnetek

• Tailscale (objava na blogu, 28. oktober 2026) pravi, da je poročilo Tailworm, ki ga je objavila raziskovalka Erica Windisch iz Cyberdione Labs, prejelo v soboto, 24. oktobra, zjutraj in da ga je raziskovalka objavila dve uri pozneje. Testirane različice so bile Tailscale 1.104.2 in headscale 0.29.5. Popravki Tailscale so v različici 1.104.4, s štirimi varnostnimi bilteni z oznakami TS-2026-014 do TS-2026-017.
• Bilten Tailscale o posredovanju vtičnic SSH Unix navaja, da je strežnik SSH v procesu tailscaled s privilegiji roota leksikalno preveril poti vtičnic, vendar je operacije izvedel kot root, kar je omogočilo privilegirane klice preko lokalnega posredovanja, izbris vtičnic v lasti roota preko oddaljenega posredovanja in stanje, ko jedro znova razreši pot po preverjanju. Dosegljive tarče so vključevale vtičnico Docker in lokalni API tailscaled. Tailscale zdaj posreduje vtičnice kot overjeni uporabnik. Dokler ni posodobljena, nastavitev dokumentirane okoljske spremenljivke TS_SSH_DISABLE_FORWARDING na 1 onemogoči posredovanje, ne da bi onemogočila Tailscale SSH.
• Tailscale pravi, da izkoriščanje zahteva obstoječo oporo na pooblaščeni napravi v tailnetu, z dostopom SSH in posredovanjem, dovoljenim s politiko, in da je pot stransko gibanje, omejeno na povezave, ki jih politika dovoljuje, in ne opisuje samoreplicirajočega črva. Stran raziskovalca pravi, da so bile napake najdene z malo truda.
• Spletno mesto raziskovalcev, ki ga vodi Dennis Jackson s sodelavci iz skupnosti, pravi, da je bil Apple obveščen o incidentu z vmesnim certifikatom eMudhra 17. oktobra in da 28. oktobra git, curl in python, dobavljeni z macOS, še vedno sprejemajo kompromitirane certifikate; prav tako pravi, da macOS 27.2, izdan 26. oktobra, ni odpravil težave in je razveljavil ročne rešitve. Applova stran za podporo potrjuje razdelitev: od 19. oktobra Safari, Mail in aplikacije na Applovih ogrodjih blokirajo certifikate, medtem ko jih orodja, kot so curl, git, python3, ruby, perl in openssl, ki preverjajo /etc/ssl/cert.pem, še vedno lahko sprejemajo do prihodnje posodobitve. Applova stran ponuja neobvezne ročne korake in opozarja, da lahko posodobitev zamenja datoteko.
• Objava na blogu Discord (27. oktober 2026) pravi, da bodo vsi Discoverable Serverji, ki potrebujejo vsaj 1.000 članov in jih je več kot 63.000, imeli javno spletno stran strežnika od 16. novembra 2026, z avtomatiziranimi povzetki kanalov, ki se lahko začnejo isti dan. Od sredine decembra 2026 se lahko sporočila iz javnih kanalov, ki jih dovoli administrator, pojavijo na spletnih straneh strežnika in v spletnem iskanju brez uporabniških imen ali avatarjev. Če administratorji nič ne spremenijo, javni kanali ostanejo vklopljeni. Kontrole administratorja (Nastavitve strežnika, Spletna prisotnost) in preklop člana (Uporabniške nastavitve, Podatki in zasebnost) so zdaj na voljo; nastavitev člana je privzeto izklopljena v EU, Združenem kraljestvu, Kanadi, Braziliji, Avstraliji in Južni Koreji, najstniški računi pa so izključeni.
• Stanford Daily (27. oktober 2026) poroča, da so profesorji, vključno s Tobiasom Wolffom, odstopili od poravnave Bartz proti Anthropicu v višini 1,5 milijarde dolarjev, ki zajema skoraj 500.000 registriranih del po približno 3.000 dolarjev na delo, in ločeno tožijo Anthropic, zahtevajo sodbo žirije, zakonsko določeno odškodnino do 150.000 dolarjev na delo in prepoved usposabljanja na njihovih knjigah. Članek povzema prejšnjo odločbo sodnika Williama Alsupa, ki je ugotovil, da je usposabljanje na zakonito pridobljenih knjigah poštena uporaba in da gradnja stalne knjižnice iz piratskih kopij ni. Nove tožbe so obtožbe; odločbe o njihovih zahtevkih ni bilo najdenih.

Preveden prepis

Prevedeno iz izvirnega angleškega pripovedovanja. Razpoložljivi zvok in podnapisi so nadzorovani s strani YouTuba.

Hladen začetek: seja SSH v Tailscale in vtičnice samo za root

0:00 Prijava SSH v Tailscale vas ohranja znotraj lastnega uporabniškega računa. Poročilo, objavljeno v soboto, opisuje seje, ki dosegajo vtičnice, samo root bi se moral dotakniti, in Tailscale je ta teden izdal popravke. V tem videu so štiri zgodbe. Kaj bi lahko dosegla seja SSH v Tailscale? Zakaj git na Macu še vedno zaupa preklicanim certifikatom? Kaj se bo spremenilo za javne Discord strežnike šestnajstega novembra? In kaj trdijo avtorji v svojih tožbah proti Anthropicu?

0:27 Obstaja tudi razlog, zakaj Tailscale nasprotuje imenu tega poročila. Pustil ga bom za konec. Je sreda, osemindvajseti oktober, in to je The Daily Diff. Tailscale povezuje vaše stroje v eno zasebno omrežje, in Tailscale SSH je njegov vgrajen SSH strežnik, ki preverja vaš Tailscale identiteto namesto datoteke s ključi. Teče znotraj procesa s korenskimi privilegiji. Pomislite na vratarja, ki ima tudi glavni ključ.

Zgodba prva: kaj bi lahko dosegla seja SSH v Tailscale

0:50 Zgodba prva. Varnostna raziskovalka Erica Windisch je tri dni testirala Tailscale ena pika ena nič štiri pika dva in objavila poročilo z naslovom Tailworm. Tailscale pravi, da je poročilo prejelo v soboto zjutraj, in raziskovalka ga je objavila dve uri pozneje. Glavna ugotovitev je posredovanje vtičnic. Tailscaleov lastni bilten pravi, da njegov strežnik SSH deluje kot root, preveril poti vtičnic po njihovem besedilu in nato opravil delo kot root. To je dalo tri poti: povezavo z vtičnico samo za root,

1:16 oddaljeno posredovanje, ki izbriše vtičnico v lasti roota, in stanje, ko jedro ponovno razreši pot po preverjanju. Tailscale pravi, da napadalec potrebuje oporo na napravi, ki je že v tailnetu, z SSH in posredovanjem, obojim dovoljenim s politiko. Popravek je različica ena pika ena nič štiri pika štiri, in posredovanje zdaj deluje kot prijavljeni uporabnik. Če danes ne morete posodobiti, bilten dokumentira nastavitev storitve, ki izklopi

1:42 posredovanje. Zgodba druga.

Zgodba druga: zakaj git na Macu še vedno zaupa eMudhra

1:44 Prejšnjo sredo sem pokril ključe certifikatov eMudhra, in sem rekel, da je še vedno treba preveriti zaupanje nameščenega odjemalca. Več kot teden dni po obvestilu Applu, spletno mesto raziskovalcev, ki ga vodi Dennis Jackson, pravi, da git, curl in python na Macu še vedno sprejemajo certifikate od teh vmesnih posrednikov. Applova lastna stran za podporo opisuje razdelitev. Safari, Mail in aplikacije na Applovih omrežnih ogrodjih blokirajo certifikate, in to od devetnajstega oktobra.

2:08 Toda orodja ukazne vrstice, kot so curl, git in python, preberejo datoteko certifikata v sistemski mapi in preskočijo Applovo blokado do prihodnje posodobitve. Spletno mesto raziskovalcev dodaja, da macOS sedemindvajset pika dva, izdan v ponedeljek, ni popravil in je razveljavil ročno rešitev. Applova stran res pravi, da posodobitev lahko zamenja to datoteko, in nisem našel datuma za popravek. Tailscaleov bilten o teh ključih, od enaindvajsetega oktobra, pojasnjuje, da njegov odjemalec zaupa vsemu, kar zaupa sistemska shramba.

2:38 Če gradite na Macu ali poganjate Mac CI izvajalce, zaženite preverjanje raziskovalcev proti vašemu lastnemu gitu, nato sledite Applovim korakom, ki odstranijo do dva korenska certifikata iz te datoteke. Apple opozarja, da lahko to pokvari nekatere strani, in posodobitev to lahko razveljavi, zato preverite znova po vsaki posodobitvi.

Zgodba tretja: Discord premika javne strežnike v spletno iskanje

2:54 Zgodba tri. V torek je Discord napovedal, da bodo razprave v Discoverable Strežnikih postale lažje najdljive v spletnem iskanju. To so njegovi najbolj javni strežniki, z vsaj tisoč člani, in Discord jih šteje več kot triinšestdeset tisoč. Tukaj so datumi. Nadzorne in članske kontrole so se začele uvajati v torek. Šestnajstega novembra vsak Discoverable Server dobi javno spletno stran, in avtomatizirani povzetki kanalov se lahko začnejo pojavljati na njej.

3:18 Od sredine decembra se lahko sporočila iz javnih kanalov prikažejo tudi v spletnem iskanju, brez uporabniških imen ali avatarjev, če to dovolijo administratorji strežnika. Privzete nastavitve so pomembne. Če administrator nič ne spremeni, javni kanali ostanejo vklopljeni. Člani dobijo stikalo v nastavitvah Podatki in zasebnost. V večini krajev se začne vklopljeno in privzeto izklopljeno v šestih, vključno z Evropsko unijo in Združenim kraljestvom. Najstniški računi so izključeni, in sporočila izpred sredine decembra se ne štejejo.

3:48 Dve podrobnosti za opazovanje. Stikalo za člane zajema sporočila, medtem ko se povzetki kanalov generirajo ločeno in ostanejo vklopljeni, razen če jih administrator izklopi. In sporočilo, poslano, ko je bilo stikalo vklopljeno, ostane, razen če ga izbrišete. Če vodite skupnost, odprite Spletna prisotnost v nastavitvah strežnika pred novembrom šestnajstega. Zgodba štiri, in držal se bom dokumentiranega.

Zgodba četrta: avtorji, Claude in druga tožba

4:08 Šestindvajsetega oktobra sem pokril vložitev Anthropic, ki navaja poravnavo v višini enega in pol milijarde dolarjev z avtorji. Stanford Daily poroča, da so profesorji, vključno s Tobiasom Wolffom, odstopili od te poravnave in tožijo ločeno. Po poročanju Dailyja znaša poravnava približno tri tisoč dolarjev na delo, za skoraj petsto tisoč del. Tožba za odstop zahteva od porote zakonsko določeno odškodnino do sto petdeset tisoč dolarjev na delo, petdesetkrat več, plus odredbo proti usposabljanju na

4:37 knjigah tožnikov. Odločitev, ki je v ozadju, je ožja od naslova. Sodnik Alsup je ugotovil, da je usposabljanje na zakonito pridobljenih knjigah poštena uporaba, in da gradnja stalne knjižnice iz piratskih kopij ni. Nove tožbe trdijo, da gre za piratske kopije, in nisem našel nobene odločitve o njihovih zahtevkih. Septembra so datoteke OpenAI LibGen postavile isto vprašanje o drugem laboratoriju. Če sestavljate podatke za usposabljanje, shranite zapis o tem, od kod je prišla vsaka datoteka. Odločitev je ločila zakonito pridobljene knjige od piratskih kopij,

5:07 tako da je vir kopij vprašanje, ki vam bo postavljeno. Nazaj k imenu. Tailscale pravi, da se nič v poročilu ne širi samo od sebe. Pot imenuje stransko gibanje, omejeno na povezave, ki jih politika tailneta že dovoljuje, in samo z naprave, ki jo napadalec že poseduje. Stran raziskovalca odgovarja, da so bile napake najdene z malo truda. Oboje je lahko res, in popravek je tako ali tako izdan. Če raje berete to, kot pa me poslušate, vam diff pristane v nabiralniku

5:31 vsako jutro, brezplačno na the daily diff dot dev, povezava spodaj. Današnja sodba je torej POTREBUJE PREGLED.

Sodba: POTREBUJE PREGLED

5:37 Pregledal bi jo, ker je popravek Tailscale izdan, vendar vaši strežniki še niso posodobljeni, Applova vrzel v ukazni vrstici je še vedno odprta, privzete nastavitve Discorda se preklopijo šestnajstega novembra, in trditve avtorjev so še vedno obtožbe. In to je diff za danes. Sem Niko iz Axrisi. Spojite odgovorno.

Viri

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily