Marekebisho ya Tailworm ya Tailscale, git ya Mac na cheti cha eMudhra, mabadiliko ya utafutaji wa wavuti wa Discord na kesi za waandishi dhidi ya Anthropic: Hadithi nne za waendelezaji katika Daily Diff moja

Nini video hii inashughulikia

• Tailscale (chapisho la blogu, Oktoba 28, 2026) inasema ilipokea ripoti ya Tailworm, iliyochapishwa na mtafiti Erica Windisch wa Cyberdione Labs, asubuhi ya Jumamosi, Oktoba 24, na kwamba mtafiti aliichapisha saa mbili baadaye. Matoleo yaliyojaribiwa yalikuwa Tailscale 1.104.2 na headscale 0.29.5. Marekebisho ya Tailscale yako katika toleo la 1.104.4, na taarifa nne za usalama zenye namba TS-2026-014 hadi TS-2026-017.
• Taarifa ya Tailscale kuhusu usambazaji wa soketi ya SSH Unix inasema seva ya SSH katika mchakato wa tailscaled wenye "root-privileged" ilithibitisha njia za soketi kiwango cha kileksika lakini ilifanya shughuli hizo kama "root", ambayo iliruhusu "dial" zenye upendeleo kupitia usambazaji wa ndani, kufuta soketi zinazomilikiwa na "root" kupitia usambazaji wa mbali, na mashindano ambapo kernel inatatua tena njia baada ya ukaguzi. Malengo yanayoweza kufikiwa yalijumuisha soketi ya Docker na API ya ndani ya tailscaled. Tailscale sasa inasambaza soketi kama mtumiaji aliyethibitishwa. Hadi itakaposasishwa, kuweka "environment variable" ya TS_SSH_DISABLE_FORWARDING kwa 1 inalemaza usambazaji bila kuzima Tailscale SSH.
• Tailscale inasema unyonyaji unahitaji "foothold" iliyopo kwenye kifaa kilichoidhinishwa katika "tailnet", na ufikiaji wa SSH na usambazaji kuruhusiwa na sera, na kwamba njia hiyo ni "lateral movement" iliyopunguzwa kwa miunganisho ambayo sera inaruhusu, na haielezei minyoo inayojizidisha. Ukurasa wa mtafiti unasema kasoro hizo zilipatikana kwa juhudi ndogo.
• Tovuti ya mtafiti inayoendeshwa na Dennis Jackson na wachangiaji wa jumuiya inasema Apple iliarifiwa kuhusu tukio la cheti cha kati cha eMudhra mnamo Oktoba 17 na kwamba, kufikia Oktoba 28, git, curl na python3 zilizosafirishwa na macOS bado zinakubali vyeti vilivyoharibiwa; pia inasema macOS 27.2, iliyotolewa Oktoba 26, haikurekebisha suala hilo na ilibatilisha marekebisho ya mikono. Ukurasa wa msaada wa Apple unathibitisha mgawanyiko: tangu Oktoba 19 Safari, Mail na programu kwenye mifumo ya Apple zinazuia vyeti, huku zana kama vile curl, git, python3, ruby, perl na openssl zinazokagua /etc/ssl/cert.pem bado zinaweza kuzikubali hadi sasisho la baadaye. Ukurasa wa Apple unatoa hatua za hiari za mikono na unaonya kuwa sasisho linaweza kubadilisha faili.
• Chapisho la blogu ya Discord (Oktoba 27, 2026) linasema "Discoverable Servers" zote, ambazo zinahitaji angalau wanachama 1,000 na zipo zaidi ya 63,000, zitakuwa na "Server Web Page" ya umma kuanzia Novemba 16, 2026, na "Channel Summaries" za kiotomatiki zinaweza kuanza siku hiyo hiyo. Kuanzia katikati ya Desemba 2026, jumbe kutoka "public channels" zilizoruhusiwa na "admin" zinaweza kuonekana kwenye "Server Web Pages" na katika utafutaji wa wavuti bila majina ya watumiaji au avatari. Ikiwa "admin" haibadilishi chochote, "public channels" zitabaki wazi. Vidhibiti vya "admin" (Mipangilio ya Seva, Uwepo wa Wavuti) na swichi ya mwanachama (Mipangilio ya Mtumiaji, Data na Faragha) vinapatikana sasa; mipangilio ya mwanachama imezimwa kwa chaguo-msingi katika EU, UK, Canada, Brazil, Australia na Korea Kusini, na akaunti za vijana zimetengwa.
• The Stanford Daily (Oktoba 27, 2026) inaripoti kwamba maprofesa akiwemo Tobias Wolff walichagua kutoshiriki katika makazi ya Bartz v. Anthropic ya dola bilioni 1.5, ambayo inahusu kazi karibu 500,000 zilizosajiliwa kwa takriban dola 3,000 kwa kila kazi, na wanamshitaki Anthropic kivyake, wakitaka kesi ya majaji, uharibifu wa kisheria wa hadi dola 150,000 kwa kila kazi na amri ya kuzuia mafunzo kwa vitabu vyao. Makala inatoa muhtasari wa uamuzi wa awali wa Jaji William Alsup kama kupata mafunzo kwa vitabu vilivyopatikana kihalali kuwa matumizi ya haki na kujenga maktaba ya kudumu kutoka nakala za uharamia si. Kesi mpya ni madai; hakuna uamuzi juu ya madai yao uliopatikana.

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

Ufunguzi baridi: kikao cha Tailscale SSH na soketi za "root-only"

0:00 Kuingia kwa Tailscale SSH kunakuweka ndani ya akaunti yako ya mtumiaji. Ripoti iliyochapishwa Jumamosi inaeleza vikao vinavyofikia soketi tu "root" inapaswa kugusa, na Tailscale ilituma marekebisho wiki hii. Katika video hii, hadithi nne. Kikao cha Tailscale SSH kingeweza kufikia nini? Kwa nini git kwenye Mac bado inaamini vyeti vilivyofutwa? Nini kinabadilika kwa seva za umma za Discord mnamo Novemba kumi na sita? Na waandishi wanadai nini katika kesi zao dhidi ya Anthropic?

0:27 Pia kuna sababu Tailscale inakataa jina la ripoti hiyo. Nitaokoa kwa mwisho. Ni Jumatano, Oktoba ishirini na nane, na hii ni The Daily Diff. Tailscale inaunganisha mashine zako kwenye mtandao mmoja wa kibinafsi, na Tailscale SSH ni seva yake ya SSH iliyojengwa ndani, ambayo huangalia Tailscale yako kitambulisho badala ya faili ya ufunguo. Inafanya kazi ndani ya mchakato wenye "root privileges". Fikiria mlinda mlango ambaye pia anashika ufunguo mkuu.

Hadithi ya kwanza: kikao cha Tailscale SSH kingeweza kufikia nini

0:50 Hadithi ya kwanza. Mtafiti wa usalama Erica Windisch alijaribu Tailscale moja nukta moja sifuri nne nukta mbili kwa siku tatu na kuchapisha ripoti inayoitwa Tailworm. Tailscale inasema ripoti hiyo iliiwasilisha Jumamosi asubuhi, na mtafiti aliichapisha saa mbili baadaye. Matokeo makuu ni usambazaji wa soketi. Taarifa ya Tailscale yenyewe inasema seva yake ya SSH inafanya kazi kama "root", iliangalia njia za soketi kwa maandishi yao, na kisha ikafanya kazi kama "root". Hiyo ilitoa njia tatu: unganisho kwa soketi ya "root-only",

1:16 usambazaji wa mbali unaofuta soketi inayomilikiwa na "root", na mbio ambapo kernel inatatua njia tena baada ya ukaguzi. Tailscale inasema mshambuliaji anahitaji msingi kwenye kifaa ambacho tayari kiko kwenye "tailnet", pamoja na SSH na usambazaji kuruhusiwa na sera. Marekebisho ni toleo la moja nukta moja sifuri nne nukta nne, na usambazaji sasa unafanya kazi kama mtumiaji aliyeingia. Ikiwa huwezi kusasisha leo, taarifa inaandika mpangilio wa huduma unaozima

1:42 usambazaji. Hadithi ya pili.

Hadithi ya pili: kwa nini git kwenye Mac bado inaamini eMudhra

1:44 Jumatano iliyopita nilifunika funguo za cheti cha eMudhra, na nilisema imani ya mteja iliyotumwa bado inahitaji kuangaliwa. Zaidi ya wiki moja baada ya Apple kuambiwa, tovuti ya mtafiti inayoendeshwa na Dennis Jackson inasema git, curl na python kwenye Mac bado zinakubali vyeti kutoka kwa hizo intermediates. Ukurasa wa msaada wa Apple unaelezea mgawanyiko. Safari, Mail na programu kwenye mifumo ya mtandao ya Apple inazuia vyeti, na imefanya hivyo tangu Oktoba kumi na tisa.

2:08 Lakini zana za "command line" kama vile curl, git na python husoma faili ya cheti katika folda ya mfumo, na zinaruka kizuizi cha Apple hadi sasisho la baadaye. Tovuti ya mtafiti inaongeza kuwa macOS ishirini na saba nukta mbili, iliyotolewa Jumatatu, haikurekebisha na ilibatilisha marekebisho ya mikono. Ukurasa wa Apple unasema sasisho linaweza kubadilisha faili hiyo, na sikupata tarehe ya marekebisho. Taarifa ya Tailscale kuhusu funguo hizi, kutoka Oktoba ishirini na moja, inaeleza kuwa mteja wake anaamini chochote ambacho hifadhi ya mfumo inaamini.

2:38 Ukiunda kwenye Mac au ukiendesha Mac CI runners, endesha ukaguzi wa watafiti dhidi ya git yako mwenyewe, kisha ufuate hatua za Apple, ambazo huondoa hadi vyeti viwili vya "root" kutoka kwenye faili hiyo. Apple inaonya kwamba inaweza kuvunja tovuti zingine, na sasisho linaweza kubatilisha, hivyo angalia tena baada ya kila sasisho.

Hadithi ya tatu: Discord inahamisha seva za umma kwenye utafutaji wa wavuti

2:54 Hadithi ya tatu. Jumanne Discord ilitangaza kwamba majadiliano katika "Discoverable" Seva yatakuwa rahisi kupatikana katika utafutaji wa wavuti. Hizo ni seva zake za umma zaidi, zenye angalau wanachama elfu moja, na Discord inahesabu zaidi ya elfu sitini na tatu kati yao. Hizi hapa tarehe. Udhibiti wa "Admin" na wanachama ulianza kutolewa Jumanne. Mnamo Novemba kumi na sita kila "Discoverable Server" inapata ukurasa wa wavuti wa umma, na muhtasari wa kituo cha kiotomatiki unaweza kuanza kuonekana juu yake.

3:18 Kuanzia katikati ya Desemba, jumbe kutoka kwa vituo vya umma zinaweza kuonyeshwa katika utafutaji wa wavuti pia, bila majina ya watumiaji au avatari, ikiwa "admin" za seva zinaruhusu. Chaguo-msingi ni muhimu. Ikiwa "admin" haibadilishi chochote, vituo vya umma vinabaki wazi. Wanachama wanapata swichi katika mipangilio ya Data na Faragha. Inaanza kuwaka katika maeneo mengi na imezimwa kwa chaguo-msingi katika sita, pamoja na Umoja wa Ulaya na Uingereza. Akaunti za vijana zimetengwa, na jumbe kutoka kabla ya katikati ya Desemba hazihisabiwi.

3:48 Maelezo mawili ya kutazama. Swichi ya mwanachama inahusu jumbe, huku muhtasari wa kituo ukitengenezwa kivyake na kubaki wazi isipokuwa "admin" atazime. Na ujumbe uliotumwa wakati swichi ilikuwa imewashwa unabaki wazi isipokuwa uufute. Ukiendesha jamii, fungua "Web Presence" katika mipangilio ya seva kabla ya Novemba kumi na sita. Hadithi ya nne, na nitashikamana na kile kilichoandikwa.

Hadithi ya nne: waandishi, Claude na kesi ya pili

4:08 Mnamo Oktoba ishirini na sita nilifunika "filing" ya Anthropic, ambayo inaorodhesha makazi ya dola bilioni moja nukta tano na waandishi. The Stanford Daily inaripoti kwamba maprofesa akiwemo Tobias Wolff walichagua kutoshiriki katika makazi hayo na wanashtaki tofauti. Kwa mujibu wa Daily, makazi yanatokana na takriban dola elfu tatu kwa kila kazi, katika karibu kazi elfu mia tano. Kesi ya "opt-out" inamuuliza jaji wa majaji uharibifu wa kisheria wa hadi elfu mia moja hamsini dola kwa kila kazi, mara hamsini zaidi, pamoja na agizo dhidi ya mafunzo juu ya

4:37 vitabu vya walalamikaji. Uamuzi uliopo chini ni mwembamba kuliko kichwa cha habari. Jaji Alsup aligundua kuwa mafunzo juu ya vitabu vilivyopatikana kisheria yalikuwa matumizi ya haki, na kwamba kujenga maktaba ya kudumu kutoka nakala za uharamia haikuwa. Kesi mpya zinadai nakala za uharamia, na sikupata uamuzi juu ya madai yao. Mnamo Septemba, faili za OpenAI LibGen ziliibua swali lile lile kuhusu maabara nyingine. Ukiunganisha data ya mafunzo, weka rekodi ya ambapo kila faili ilitoka. Uamuzi ulitenganisha vitabu vilivyopatikana kisheria kutoka nakala za uharamia,

5:07 hivyo chanzo cha nakala ndicho swali utakalohojiwa. Rudi kwa jina. Tailscale inasema hakuna kitu katika ripoti kinachoenea peke yake. Inaita njia hiyo "lateral movement", iliyopunguzwa kwa miunganisho ambayo sera ya "tailnet" tayari inaruhusu, na tu kutoka kwa kifaa ambacho mshambuliaji tayari anamiliki. Ukurasa wa mtafiti unajibu kuwa kasoro zilipatikana kwa juhudi ndogo. Zote zinaweza kuwa kweli, na marekebisho yametolewa hata hivyo. Ukitaka kusoma hii badala ya kunisikia nikisema, "the diff" inakuingia kwenye kikasha

5:31 kila asubuhi, bure kwenye "the daily diff dot dev", kiungo hapa chini. Hivyo hukumu ya leo ni MAHITAJI YA KUPITIWA.

Hukumu: MAHITAJI YA KUPITIWA

5:37 Ningeipitia kwa sababu marekebisho ya Tailscale yametolewa lakini seva zako hazijasasishwa bado, pengo la "command line" la Apple bado liko wazi, mipangilio chaguomsingi ya Discord inawashwa Novemba kumi na sita, na madai ya waandishi bado ni madai tu. Na hiyo ndio tofauti kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily