# Popravke Tailscale-ovog Tailworm-a, Mac git i eMudhra sertifikati, promena veb pretrage na Discord-u i tužbe autora protiv Anthropic-a: četiri priče za programere u jednom Daily Diff-u

Published: 2026-10-28

Četiri priče za programere iz jedne srede, svaka pripisana primarnom izvoru: Tailscale je objavio verziju 1.104.4 nakon izveštaja istraživača nazvanog Tailworm, koji je opisao SSH prosleđivanje koje je došlo do root-only soketa; sajt istraživača kaže da git, curl i python na macOS-u i dalje prihvataju sertifikate od kompromitovanih eMudhra posrednika, dok Apple-ova stranica podrške objašnjava zašto alati komandne linije čitaju zaseban sertifikatni fajl; Discord kaže da će se diskusije o Discoverable Serverima preseliti u veb pretragu od sredine decembra, sa dostupnim kontrolama; i Stanford Daily izveštava da profesori koji su se isključili iz Bartz nagodbe tuže Anthropic zasebno. Tužbe su optužbe, Apple-ova popravka nema objavljen datum, a presuda je NEEDS REVIEW.

Canonical: https://thedailydiff.dev/sr-Latn/video/2026-10-28-tailworm-emudhra-discord/

## Šta ovaj video pokriva

- Tailscale (blog post, 28. oktobar 2026.) kaže da je primio izveštaj Tailworm, koji je objavila istraživačica Erica Windisch iz Cyberdione Labs, u subotu, 24. oktobra ujutru, i da ga je istraživačica objavila dva sata kasnije. Testirane verzije su bile Tailscale 1.104.2 i headscale 0.29.5. Tailscale-ove ispravke su u verziji 1.104.4, sa četiri sigurnosna biltena numerisana TS-2026-014 do TS-2026-017.
- Tailscale-ov bilten o SSH Unix socket prosleđivanju kaže da je SSH server u tailscaled procesu sa root privilegijama validirao putanje soketa leksički, ali je operacije obavljao kao root, što je omogućilo privilegovana biranja putem lokalnog prosleđivanja, brisanje soketa u vlasništvu roota putem udaljenog prosleđivanja i trku gde kernel ponovo razrešava putanju nakon provere. Dostupne mete su uključivale Docker soket i tailscaled lokalni API. Tailscale sada prosleđuje sokete kao autentifikovani korisnik. Dok se ne ažurira, postavljanje dokumentovane TS\_SSH\_DISABLE\_FORWARDING varijable okruženja na 1 onemogućava prosleđivanje bez onemogućavanja Tailscale SSH-a.
- Tailscale kaže da eksploatacija zahteva postojeći pristup na ovlašćenom uređaju u tailnetu, sa SSH pristupom i prosleđivanjem dozvoljenim politikom, i da je putanja bočno kretanje ograničeno na veze koje politika dozvoljava, i ne opisuje samo-replicirajući crv. Stranica istraživača kaže da su greške pronađene sa malo napora.
- Sajt istraživača koji vodi Dennis Jackson sa doprinosima zajednice kaže da je Apple obavešten o incidentu sa eMudhra posredničkim sertifikatom 17. oktobra i da, od 28. oktobra, git, curl i python3 isporučeni sa macOS-om i dalje prihvataju kompromitovane sertifikate; takođe kaže da macOS 27.2, objavljen 26. oktobra, nije rešio problem i poništio je ručne zaobilaznice. Apple-ova stranica podrške potvrđuje podelu: od 19. oktobra Safari, Mail i aplikacije na Apple-ovim okvirima blokiraju sertifikate, dok alati kao što su curl, git, python3, ruby, perl i openssl koji proveravaju /etc/ssl/cert.pem i dalje ih mogu prihvatiti do budućeg ažuriranja. Apple-ova stranica daje opcione ručne korake i upozorava da ažuriranje može zameniti fajl.
- Discord-ov blog post (27. oktobar 2026.) kaže da će svi Discoverable Serveri, koji zahtevaju najmanje 1.000 članova i kojih ima više od 63.000, imati javnu veb stranicu servera od 16. novembra 2026., sa automatskim sažecima kanala koji mogu početi istog dana. Od sredine decembra 2026., poruke iz javnih kanala koje dozvoljavaju administratori mogu se pojaviti na veb stranicama servera i u veb pretrazi bez korisničkih imena ili avatara. Ako administratori ništa ne promene, javni kanali ostaju uključeni. Administratorske kontrole (Server Settings, Web Presence) i prekidač za članove (User Settings, Data and Privacy) su sada dostupni; podešavanje za članove je podrazumevano isključeno u EU, UK, Kanadi, Brazilu, Australiji i Južnoj Koreji, a nalozi tinejdžera su isključeni.
- Stanford Daily (27. oktobar 2026.) izveštava da su profesori, uključujući Tobiasa Wolffa, odustali od nagodbe Bartz protiv Anthropic-a vredne 1,5 milijardi dolara, koja pokriva skoro 500.000 registrovanih dela po ceni od oko 3.000 dolara po delu, i da zasebno tuže Anthropic, tražeći suđenje sa porotom, zakonsku odštetu do 150.000 dolara po delu i sudsku zabranu obuke na njihovim knjigama. Članak sažima raniju presudu sudije Williama Alsupa kao pronalaženje obuke na legalno nabavljenim knjigama kao poštene upotrebe, a izgradnju stalne biblioteke od piratskih kopija ne. Nove tužbe su optužbe; nije pronađena presuda o njihovim zahtevima.

## Pitanja i odgovori

### Šta je izveštaj Tailworm pronašao u Tailscale SSH-u, i koja verzija to popravlja?

Tailscaleov bilten kaže da je njegov SSH server, koji radi kao root u tailscaled procesu, proveravao putanje Unix soketa po njihovom tekstu, a zatim je obavljao posao kao root. To je omogućilo ovlašćenoj sesiji sa dozvoljenim prosleđivanjem da pristupi soketima samo za root, kao što su Docker soket ili tailscaled lokalni API. Popravke su u Tailscale verziji 1.104.4, a soketi se sada prosleđuju kao prijavljeni korisnik.

### Kako da isključim SSH prosleđivanje u Tailscale-u dok ne budem mogao da ga ažuriram?

Tailscaleov bilten dokumentuje postavljanje varijable okruženja TS\_SSH\_DISABLE\_FORWARDING na 1 u tailscaled servisnom okruženju i ponovno pokretanje servisa. On onemogućava prosleđivanje bez potpunog onemogućavanja Tailscale SSH-a. Tailscale takođe preporučuje pregled politika SSH pristupa i ažuriranje na verziju 1.104.4 ili noviju, i kaže da napadaču treba postojeće uporište na ovlašćenom uređaju.

### Da li git i curl na Mac-u i dalje veruju kompromitovanim eMudhra sertifikatima?

Sajt istraživača koji vodi Dennis Jackson kaže da od 28. oktobra git, curl i python3 isporučeni sa macOS-om i dalje prihvataju sertifikate od kompromitovanih eMudhra posrednika, i da macOS 27.2 to nije popravio. Apple-ova stranica podrške potvrđuje da alati koji proveravaju fajl /etc/ssl/cert.pem i dalje mogu da ih prihvate do budućeg ažuriranja, dok ih Safari i Mail blokiraju od 19. oktobra.

### Šta će Discord promeniti za javne servere, i kako administratori i članovi mogu da se isključe?

Discord kaže da svaki Discoverable Server, što znači najmanje 1.000 članova, dobija javnu veb stranicu servera 16. novembra 2026., a poruke iz javnih kanala koje dozvoljavaju administratori mogu se pojaviti u veb pretrazi od sredine decembra. Administratori biraju kanale u Server Settings pod Web Presence. Članovi mogu isključiti svoje poruke u User Settings pod Data and Privacy; podešavanje za članove je podrazumevano isključeno u šest regiona.

### Kakva je bila presuda The Daily Diff-a o ove četiri priče?

Presuda The Daily Diff-a bila je POTREBAN PREGLED. Nikov razlog je što je Tailscale-ova popravka objavljena, ali serveri još nisu ažurirani, Apple-ova komandna linija je još uvek otvorena, Discord-ove podrazumevane postavke se uključuju 16. novembra, a tvrdnje autora protiv Anthropic-a su još uvek optužbe. Savet je da ažurirate Tailscale, proverite svoj git, pregledate Discord postavke i pročitate primarne izvore.

## Poglavlja

- 0:00 Hladno otvaranje: Tailscale SSH sesija i soketi samo za root
- 0:50 Priča prva: šta je sve mogla da dostigne Tailscale SSH sesija
- 1:43 Priča druga: zašto git na Mac-u i dalje veruje eMudhra
- 2:54 Priča treća: Discord premešta javne servere u veb pretragu
- 4:06 Priča četvrta: autori, Claude i druga tužba
- 5:35 Presuda: POTREBAN PREGLED

## Preveden transkript

Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.

### Hladno otvaranje: Tailscale SSH sesija i soketi samo za root

0:00 Prijavljivanje na Tailscale SSH vas drži unutar vašeg korisničkog naloga. Izveštaj objavljen u subotu opisuje sesije koje dosežu sokete koje samo root bi trebalo da dodiruje, a Tailscale je isporučio popravke ove nedelje. U ovom videu, četiri priče. Šta je mogla da dostigne Tailscale SSH sesija? Zašto git na Mac-u i dalje veruje opozvanim sertifikatima? Šta se menja za javne Discord servere šesnaestog novembra? I šta autori tvrde u svojim tužbama protiv Anthropic-a?

0:27 Postoji i razlog zašto Tailscale odbija naziv tog izveštaja. Sačuvaću ga za kraj. Sreda je, dvadeset osmi oktobar, i ovo je The Daily Diff. Tailscale povezuje vaše mašine u jednu privatnu mrežu, a Tailscale SSH je njegov ugrađeni SSH server, koji proverava vašu Tailscale identitet umesto datoteke ključa. Radi unutar procesa sa root privilegijama. Zamislite vratara koji takođe drži glavni ključ.

### Priča prva: šta je sve mogla da dostigne Tailscale SSH sesija

0:50 Priča prva. Bezbednosna istraživačica Erica Windisch testirala je Tailscale verziju jedan tačka jedan nula četiri tačka dva tokom tri dana i objavila izveštaj nazvan Tailworm. Tailscale kaže da im je izveštaj stigao u subotu ujutru, a istraživačica ga je objavila dva sata kasnije. Glavni nalaz je prosleđivanje soketa. Tailscaleov bilten kaže da njegov SSH server radi kao root, proveravao putanje soketa po njihovom tekstu, a zatim obavljao posao kao root. To je dalo tri rute: vezu sa soketom samo za root,

1:16 udaljeno prosleđivanje koje briše soket u vlasništvu root-a, i trku gde kernel ponovo razrešava putanju nakon provere. Tailscale kaže da napadaču treba uporište na uređaju koji je već u tailnetu, sa SSH i prosleđivanjem koje je dozvoljeno politikom. Popravka je verzija jedan tačka jedan nula četiri tačka četiri, a prosleđivanje sada radi kao prijavljeni korisnik. Ako ne možete da ažurirate danas, bilten dokumentuje postavku usluge koja isključuje

1:42 prosleđivanje. Priča druga.

### Priča druga: zašto git na Mac-u i dalje veruje eMudhra

1:44 Prošle srede sam pokrio ključeve eMudhra sertifikata, i rekao sam da je poverenje instaliranog klijenta još uvek trebalo proveriti. Više od nedelju dana nakon što je Apple obavešten, istraživački sajt koji vodi Dennis Jackson kaže da git, curl i python na Mac-u i dalje prihvataju sertifikate od tih posrednika. Apple-ova stranica podrške opisuje podelu. Safari, Mail i aplikacije na Apple-ovim mrežnim okvirima blokiraju sertifikate, i to od devetnaestog oktobra.

2:08 Ali alati komandne linije kao što su curl, git i python čitaju datoteku sertifikata u sistemskoj fascikli, i preskaču Apple-ovu blokadu do budućeg ažuriranja. Istraživački sajt dodaje da macOS dvadeset sedam tačka dva, objavljen u ponedeljak, nije to popravio i poništio je ručno rešenje. Apple-ova stranica kaže da ažuriranje može zameniti taj fajl, i nisam pronašao datum za popravku. Tailscale-ov bilten o ovim ključevima, od dvadeset prvog oktobra, objašnjava da njegov klijent veruje svemu što sistemska prodavnica veruje.

2:38 Ako gradite na Macu ili pokrećete Mac CI pokretače, pokrenite proveru istraživača protiv sopstvenog git-a, a zatim sledite Apple-ove korake, koji uklanjaju do dva root sertifikata iz te datoteke. Apple upozorava da to može pokvariti neke sajtove, i da ažuriranje to može poništiti, pa proverite ponovo nakon svakog ažuriranja.

### Priča treća: Discord premešta javne servere u veb pretragu

2:54 Priča treća. U utorak je Discord objavio da će diskusije na Discoverable Serverima postati lakše za pronalaženje u veb pretrazi. To su njegovi najjavniji serveri, sa najmanje hiljadu članova, a Discord ih broji više od šezdeset tri hiljade. Evo datuma. Administratorske i članske kontrole počele su da se uvode u utorak. Šesnaestog novembra svaki Discoverable Server dobija javnu veb stranicu, i automatski sažeci kanala mogu početi da se pojavljuju na njoj.

3:18 Od sredine decembra, poruke iz javnih kanala mogu se takođe prikazivati u veb pretrazi, bez korisničkih imena ili avatara, ako administratori servera to dozvole. Podrazumevane postavke su bitne. Ako administrator ništa ne promeni, javni kanali ostaju uključeni. Članovi dobijaju prekidač u postavkama "Podaci i privatnost". U većini mesta je uključen, a podrazumevano je isključen u šest regiona, uključujući Evropsku uniju i Ujedinjeno Kraljevstvo. Nalozi tinejdžera su isključeni, a poruke pre sredine decembra se ne računaju.

3:48 Dva detalja za praćenje. Prekidač za članove pokriva poruke, dok se sažeci kanala generišu posebno i ostaju uključeni osim ako ih administrator ne isključi. I poruka poslata dok je prekidač bio uključen ostaje objavljena osim ako je ne obrišete. Ako vodite zajednicu, otvorite Web Presence u postavkama servera pre šesnaestog novembra. Priča četvrta, i držaću se onoga što je dokumentovano.

### Priča četvrta: autori, Claude i druga tužba

4:08 Dvadeset šestog oktobra sam pokrio podnesak Anthropic-a, koji navodi nagodbu od 1,5 milijardi dolara sa autorima. Stanford Daily izveštava da su profesori, uključujući Tobiasa Wolffa, odustali od te nagodbe i tuže se odvojeno. Prema Daily-u, nagodba iznosi oko tri hiljade dolara po delu, za skoro petsto hiljada dela. Tužba za odustajanje traži od porote zakonsku odštetu do sto pedeset hiljada dolara po delu, pedeset puta više, plus nalog protiv obuke na

4:37 knjigama tužilaca. Presuda ispod je uža od naslova. Sudija Alsup je utvrdio da je obuka na legalno stečenim knjigama bila poštena upotreba, i da izgradnja stalne biblioteke od piratskih kopija nije. Nove tužbe navode piratske kopije, i nisam pronašao presudu o njihovim zahtevima. U septembru, OpenAI LibGen fajlovi su postavili isto pitanje o drugoj laboratoriji. Ako sastavljate podatke za obuku, vodite evidenciju odakle je svaki fajl došao. Presuda je odvojila legalno stečene knjige od piratskih kopija,

5:07 pa je izvor kopija pitanje koje će vam biti postavljeno. Nazad na ime. Tailscale kaže da se ništa u izveštaju ne širi samo od sebe. Putanju naziva lateralnim kretanjem, ograničenom na veze koje politika tailneta već dozvoljava, i to samo sa uređaja koji napadač već poseduje. Stranica istraživača odgovara da su greške pronađene sa malo napora. Obe tvrdnje mogu biti istinite, a popravka je ionako objavljena. Ako biste ovo radije pročitali nego čuli, razlika vam stiže u inbox

5:31 svakog jutra, besplatno na the daily diff dot dev, link ispod. Dakle, današnja presuda je POTREBAN PREGLED.

### Presuda: POTREBAN PREGLED

5:37 Pregledao bih je jer je Tailscale-ova popravka objavljena, ali vaši serveri još nisu ažurirani, Apple-ova rupa u komandnoj liniji je još uvek otvorena, Discord-ovi podrazumevani prekidači se uključuju šesnaestog novembra, a tvrdnje autora su i dalje optužbe. I to je razlika za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

## Izvori

- [Tailscale SSH: Findings and fixes](https://tailscale.com/blog/tailscale-ssh-findings-fixes) — Tailscale
- [Tailscale SSH: Investigation and remediation update](https://tailscale.com/ssh-investigation-update) — Tailscale
- [Tailscale security bulletins](https://tailscale.com/security-bulletins) — Tailscale
- [Tailworm: Tailscale vulnerabilities](https://tailworm.com/) — Cyberdione Labs (Erica Windisch)
- [Apple's git still trusts the compromised eMudhra certificates](https://emudhra.we-have-a-problem.com/apple.html) — Dennis Jackson and contributors
- [About the compromised eMudhra intermediate CAs](https://support.apple.com/en-us/149555) — Apple Support
- [Making Content from Discoverable Servers Easier to Discover](https://discord.com/blog/making-content-from-discoverable-servers-easier-to-discover) — Discord
- [Anthropic illegally trained Claude with Stanford professors' books](https://stanforddaily.com/2026/10/27/professors-books-pirated-to-train-claude/) — The Stanford Daily