Tailscales Tailworm-fixar, Mac-git och eMudhra-certifikaten, Discords ändring av webbsökning och författarnas stämningar mot Anthropic: fyra utvecklarberättelser i en Daily Diff

Vad den här videon täcker

• Tailscale (blogginlägg, 28 oktober 2026) säger att de mottog Tailworm-rapporten, publicerad av forskaren Erica Windisch från Cyberdione Labs, på morgonen lördag 24 oktober, och att forskaren publicerade den två timmar senare. De testade versionerna var Tailscale 1.104.2 och headscale 0.29.5. Tailscales fixar finns i version 1.104.4, med fyra säkerhetsbulletiner numrerade TS-2026-014 till TS-2026-017.
• Tailscales bulletin om vidarebefordran av SSH Unix-socklar säger att SSH-servern i den root-privilegierade tailscaled-processen validerade sockelsökvägar lexikalt men utförde operationerna som root, vilket tillät privilegierade uppkopplingar via lokal vidarebefordran, radering av root-ägda socklar via fjärr vidarebefordran, och en kapplöpning där kärnan om-löser sökvägen efter kontrollen. Nåbara mål inkluderade Docker-sockeln och den lokala Tailscale API:n. Tailscale vidarebefordrar nu socklar som den autentiserade användaren. Fram till uppdatering, inaktiverar inställning av den dokumenterade miljövariabeln TS_SSH_DISABLE_FORWARDING till 1 vidarebefordran utan att inaktivera Tailscale SSH.
• Tailscale säger att utnyttjande kräver ett befintligt fotfäste på en auktoriserad enhet i tailnet, med SSH-åtkomst och vidarebefordran tillåtet enligt policy, och att vägen är lateral rörelse begränsad till anslutningar som policyn tillåter, och beskriver inte en självförökande mask. Forskarens sida säger att bristerna hittades med låg ansträngning.
• En forskarsida som drivs av Dennis Jackson med bidragsgivare från samhället säger att Apple underrättades om eMudhra mellanliggande certifikatincidenten den 17 oktober och att, per den 28 oktober, git, curl och python3 som levererades med macOS fortfarande accepterar de komprometterade certifikaten; den säger också att macOS 27.2, som släpptes den 26 oktober, inte fixade problemet och ångrade manuella lösningar. Apples supportsida bekräftar uppdelningen: sedan den 19 oktober blockerar Safari, Mail och appar på Apples ramverk certifikaten, medan verktyg som curl, git, python3, ruby, perl och openssl som kontrollerar /etc/ssl/cert.pem fortfarande kan acceptera dem tills en framtida uppdatering. Apples sida ger valfria manuella steg och varnar för att en uppdatering kan ersätta filen.
• Discords blogginlägg (27 oktober 2026) säger att alla Discoverable Servers, som behöver minst 1 000 medlemmar och uppgår till över 63 000, kommer att ha en offentlig serverwebbsida från och med den 16 november 2026, med automatiserade kanalsammanfattningar som kan starta samma dag. Från mitten av december 2026 kan meddelanden från administratörsgodkända offentliga kanaler visas på serverwebbsidor och i webbsökning utan användarnamn eller avatarer. Om administratörer inte ändrar något, förblir offentliga kanaler aktiva. Administratörskontroller (Serverinställningar, Webbnärvaro) och medlemsomkopplaren (Användarinställningar, Data och sekretess) är tillgängliga nu; medlemsinställningen är avstängd som standard i EU, Storbritannien, Kanada, Brasilien, Australien och Sydkorea, och tonårskonton är exkluderade.
• Stanford Daily (27 oktober 2026) rapporterar att professorer inklusive Tobias Wolff avstod från Bartz v. Anthropic-uppgörelsen på 1,5 miljarder dollar, som täcker nästan 500 000 registrerade verk till cirka 3 000 dollar per verk, och stämmer Anthropic separat, med krav på en juryrättegång, lagstadgade skadestånd på upp till 150 000 dollar per verk och ett föreläggande mot att träna på deras böcker. Artikeln sammanfattar domare William Alsups tidigare beslut som att träning på lagligt förvärvade böcker var "fair use" och att bygga ett permanent bibliotek från piratkopierade exemplar inte var det. De nya stämningarna är påståenden; inget beslut om deras anspråk hittades.

Översatt transkription

Översatt från den ursprungliga engelska berättelsen. Tillgängligt ljud och undertexter styrs av YouTube.

Kallöppning: en Tailscale SSH-session och root-endast-socklarna

0:00 En Tailscale SSH-inloggning håller dig kvar i ditt eget användarkonto. En rapport publicerad på lördagen beskriver sessioner som når socklar som endast root bör röra, och Tailscale släppte fixar denna vecka. I den här videon, fyra berättelser. Vad kunde en Tailscale SSH-session nå? Varför litar git på en Mac fortfarande på återkallade certifikat? Vad ändras för offentliga Discord-servrar den sextonde november? Och vad hävdar författare i sina stämningar mot Anthropic?

0:27 Det finns också en anledning till att Tailscale protesterar mot namnet på den rapporten. Jag sparar det till slutet. Det är onsdag, tjugoåttonde oktober, och detta är The Daily Diff. Tailscale länkar dina maskiner till ett privat nätverk, och Tailscale SSH är dess inbyggda SSH-server, som kontrollerar din Tailscale- identitet istället för en nyckelfil. Den körs i en process med root-privilegier. Tänk dig en dörrvakt som också har huvudnyckeln.

Berättelse ett: vad en Tailscale SSH-session kunde nå

0:50 Berättelse ett. Säkerhetsforskaren Erica Windisch testade Tailscale 1.104.2 i tre dagar och publicerade en rapport kallad Tailworm. Tailscale säger att rapporten nådde dem på lördag morgon, och forskaren publicerade två timmar senare. Huvudfyndet är vidarebefordran av socklar. Tailscales egen bulletin säger att dess SSH-server körs som root, kontrollerade sockelsökvägar efter deras text, och sedan utförde arbetet som root. Det gav tre vägar: en anslutning till en root-endast-sockel,

1:16 en fjärr-vidarebefordran som raderar en root-ägd sockel, och en kapplöpning där kärnan löser sökvägen igen efter kontrollen. Tailscale säger att en angripare behöver ett fotfäste på en enhet som redan finns i tailnet, med SSH och vidarebefordran båda tillåtna enligt policy. Fixen är version 1.104.4, och vidarebefordran körs nu som den inloggade användaren. Om du inte kan uppdatera idag, dokumenterar bulletinen en tjänstinställning som stänger

1:42 av vidarebefordran. Berättelse två.

Berättelse två: varför git på en Mac fortfarande litar på eMudhra

1:44 Förra onsdagen behandlade jag eMudhra-certifikatnycklarna, och jag sa att den distribuerade klientens förtroende fortfarande behövde kontrolleras. Mer än en vecka efter att Apple informerades, säger en forskarsida som drivs av Dennis Jackson att git, curl och python på en Mac fortfarande accepterar certifikat från de intermediära. Apples egen supportsida beskriver uppdelningen. Safari, Mail och appar på Apples nätverksramverk blockerar certifikaten, och har gjort det sedan den nittonde oktober.

2:08 Men kommandoradsverktyg som curl, git och python läser en certifikatfil i systemmappen, och de hoppar över Apples blockering tills en framtida uppdatering. Forskarsidan lägger till att macOS 27.2, släppt i måndags, inte fixade det och ångrade den manuella lösningen. Apples sida säger att en uppdatering kan ersätta den filen, och jag hittade inget datum för fixen. Tailscales bulletin om dessa nycklar, från tjugoförsta oktober, förklarar att dess klient litar på vad systemlagret litar på.

2:38 Om du bygger på en Mac eller kör Mac CI-löpare, kör forskarnas kontroll mot din egen git, följ sedan Apples steg, som tar bort upp till två rot- certifikat från den filen. Apple varnar för att det kan bryta vissa webbplatser, och en uppdatering kan ångra det, så kontrollera igen efter varje uppdatering.

Berättelse tre: Discord flyttar offentliga servrar till webbsökning

2:54 Berättelse tre. På tisdagen meddelade Discord att diskussioner i Discoverable Servrar kommer att bli lättare att hitta i webbsökning. Dessa är dess mest offentliga servrar, med minst tusen medlemmar, och Discord räknar mer än sextiotre tusen av dem. Här är datumen. Admin- och medlemskontroller började rullas ut i tisdags. Den sextonde november får varje Discoverable Server en offentlig webbsida, och automatiserade kanalsammanfattningar kan börja visas på den.

3:18 Från mitten av december kan meddelanden från offentliga kanaler också visas i webbsökning, utan användarnamn eller avatarer, om serverns administratörer tillåter det. Standardinställningarna är viktiga. Om en administratör inte ändrar något, förblir offentliga kanaler aktiva. Medlemmar får en omkopplare i inställningarna för Data och sekretess. Den startar på de flesta platser och av som standard i sex, inklusive Europeiska unionen och Storbritannien. Tonårskonton är exkluderade, och meddelanden från före mitten av december räknas inte.

3:48 Två detaljer att hålla ögonen på. Medlemsomkopplaren täcker meddelanden, medan kanalsammanfattningar genereras separat och förblir aktiva om inte en administratör stänger av dem. Och ett meddelande som skickades när omkopplaren var på förblir uppe om du inte tar bort det. Om du driver en community, öppna Webbnärvaro i serverinställningarna före den sextonde november. Berättelse fyra, och jag håller mig till vad som är dokumenterat.

Berättelse fyra: författare, Claude och en andra stämningsansökan

4:08 Den tjugosjätte oktober täckte jag Anthropic-ansökan, som listar en uppgörelse på 1,5 miljarder dollar med författare. Stanford Daily rapporterar att professorer inklusive Tobias Wolff avstod från den uppgörelsen och stämmer separat. Enligt Daily uppgår uppgörelsen till cirka tre tusen dollar per verk, över nästan femhundra tusen verk. Stämningsansökan för "opt-out" begär en jury för lagstadgade skadestånd på upp till etthundrafemtio tusen dollar per verk, femtio gånger mer, plus en order mot träning på

4:37 kärandenas böcker. Beslutet underliggande är snävare än rubriken. Domare Alsup fann att träning på lagligt förvärvade böcker var "fair use", och att bygga ett permanent bibliotek från piratkopierade exemplar inte var det. De nya stämningarna påstår piratkopierade exemplar, och jag hittade inget beslut om deras anspråk. I september väckte OpenAI LibGen-filerna samma fråga om ett annat laboratorium. Om du samlar träningsdata, för ett register över var varje fil kom ifrån. Beslutet skiljde lagligt förvärvade böcker från piratkopierade exemplar,

5:07 så källan till kopiorna är frågan du kommer att ställas. Tillbaka till namnet. Tailscale säger att ingenting i rapporten sprider sig av sig själv. Den kallar sökvägen lateral rörelse, begränsad till anslutningar som tailnet-policyn redan tillåter, och endast från en enhet som angriparen redan innehar. Forskarens sida svarar att bristerna hittades med låg ansträngning. Båda kan vara sanna, och fixen är ute oavsett. Om du hellre läser detta än hör mig säga det, landar diffen i din inkorg

5:31 varje morgon, gratis på thedailydiff.dev, länk nedan. Så dagens dom är NEEDS REVIEW.

Dom: NEEDS REVIEW

5:37 Jag skulle granska den eftersom Tailscales fix är ute men dina servrar är inte uppdaterade ännu, Apples kommandoradsglapp är fortfarande öppet, Discords standardinställningar ändras den sextonde november, och författarnas anspråk är fortfarande påståenden. Och det var dagens diff. Jag är Niko från Axrisi. Slå ihop ansvarsfullt.

Källor

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily