Tailscale'ın Tailworm düzeltmeleri, Mac git ve eMudhra sertifikaları, Discord'un web arama değişikliği ve yazarların Anthropic'e karşı açtığı davalar: Tek bir Daily Diff'te dört geliştirici hikayesi

Bu video neleri kapsar

• Tailscale (blog yazısı, 28 Ekim 2026), Cyberdione Labs'tan araştırmacı Erica Windisch tarafından yayınlanan Tailworm raporunu 24 Ekim Cumartesi sabahı aldığını ve araştırmacının bunu iki saat sonra yayınladığını belirtiyor. Test edilen sürümler Tailscale 1.104.2 ve headscale 0.29.5 idi. Tailscale'ın düzeltmeleri 1.104.4 sürümünde bulunuyor, TS-2026-014'ten TS-2026-017'ye kadar numaralandırılmış dört güvenlik bülteni ile.
• Tailscale'ın SSH Unix soket yönlendirmesiyle ilgili bülteni, root ayrıcalıklı tailscaled sürecindeki SSH sunucusunun soket yollarını sözcük olarak doğruladığını ancak işlemleri root olarak gerçekleştirdiğini, bunun da yerel yönlendirme yoluyla ayrıcalıklı aramalara, uzaktan yönlendirme yoluyla root'a ait soketlerin silinmesine ve çekirdeğin kontrol sonrasında yolu yeniden çözümlediği bir yarışa izin verdiğini belirtiyor. Ulaşılabilir hedefler arasında Docker soketi ve tailscaled yerel API'si vardı. Tailscale artık soketleri kimliği doğrulanmış kullanıcı olarak yönlendiriyor. Güncellenene kadar, belgelenmiş TS_SSH_DISABLE_FORWARDING ortam değişkeninin 1 olarak ayarlanması, Tailscale SSH'yi devre dışı bırakmadan yönlendirmeyi devre dışı bırakır.
• Tailscale, saldırının tailnet'teki yetkili bir cihazda mevcut bir dayanak noktası, SSH erişimi ve ilke tarafından izin verilen yönlendirme gerektirdiğini ve yolun, ilkenin izin verdiği bağlantılarla sınırlı yanal hareket olduğunu ve kendi kendine çoğalan bir solucanı tanımlamadığını belirtiyor. Araştırmacının sayfası, kusurların düşük çabayla bulunduğunu belirtiyor.
• Dennis Jackson tarafından topluluk katkılarıyla yürütülen bir araştırmacı sitesi, Apple'ın eMudhra aracı sertifika olayı hakkında 17 Ekim'de bilgilendirildiğini ve 28 Ekim itibarıyla macOS ile birlikte gelen git, curl ve python3'ün hala tehlikeye atılan sertifikaları kabul ettiğini belirtiyor; ayrıca 26 Ekim'de yayınlanan macOS 27.2'nin sorunu düzeltmediğini ve manuel geçici çözümleri geri aldığını belirtiyor. Apple'ın destek sayfası ayrılığı doğruluyor: 19 Ekim'den bu yana Safari, Mail ve Apple'ın çerçevelerindeki uygulamalar sertifikaları engellerken, /etc/ssl/cert.pem dosyasını kontrol eden curl, git, python3, ruby, perl ve openssl gibi araçlar gelecekteki bir güncellemeyene kadar bunları hala kabul edebilir. Apple'ın sayfası isteğe bağlı manuel adımlar sunuyor ve bir güncellemenin dosyayı değiştirebileceği konusunda uyarıyor.
• Discord'un blog yazısı (27 Ekim 2026), en az 1.000 üyeye sahip olan ve sayısı 63.000'den fazla olan tüm Keşfedilebilir Sunucuların 16 Kasım 2026'dan itibaren herkese açık bir Sunucu Web Sayfasına sahip olacağını ve aynı gün otomatik Kanal Özetlerinin başlamaya başlayabileceğini belirtiyor. Aralık 2026 ortasından itibaren, yöneticiler tarafından izin verilen herkese açık kanallardan gelen mesajlar, kullanıcı adları veya avatarlar olmadan Sunucu Web Sayfalarında ve web aramasında görünebilir. Yöneticiler hiçbir şeyi değiştirmezse, herkese açık kanallar açık kalır. Yönetici kontrolleri (Sunucu Ayarları, Web Varlığı) ve üye anahtarı (Kullanıcı Ayarları, Veri ve Gizlilik) şu anda mevcuttur; üye ayarı AB, Birleşik Krallık, Kanada, Brezilya, Avustralya ve Güney Kore'de varsayılan olarak kapalıdır ve genç hesaplar hariç tutulmuştur.
• Stanford Daily (27 Ekim 2026), Tobias Wolff dahil profesörlerin, yaklaşık 500.000 kayıtlı eseri eser başına yaklaşık 3.000 $ karşılığında kapsayan 1.5 milyar dolarlık Bartz v. Anthropic anlaşmasından çekildiğini ve Anthropic'e ayrı ayrı dava açtığını, jüri yargılaması, eser başına 150.000 $'a kadar yasal tazminat ve kitapları üzerinde eğitim yapılmaması için ihtiyati tedbir talep ettiğini bildiriyor. Makale, Yargıç William Alsup'un önceki kararını, yasal olarak edinilmiş kitaplar üzerinde eğitimin adil kullanım olduğunu ve korsan kopyalardan kalıcı bir kütüphane oluşturmanın adil kullanım olmadığını belirten bir özetini sunuyor. Yeni davalar iddialardan ibarettir; iddialarına ilişkin herhangi bir karar bulunamamıştır.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

Kısa başlangıç: bir Tailscale SSH oturumu ve yalnızca root erişimine sahip soketler

0:00 Bir Tailscale SSH girişi sizi kendi kullanıcı hesabınızda tutar. Cumartesi günü yayınlanan bir rapor, yalnızca root'un dokunması gereken soketlere ulaşan oturumları anlatıyor ve Tailscale bu hafta düzeltmeleri yayınladı. Bu videoda dört hikaye var. Bir Tailscale SSH oturumu nelere ulaşabilir? Mac'teki git neden hala iptal edilmiş sertifikalara güveniyor? 16 Kasım'da herkese açık Discord sunucuları için ne değişecek? Ve yazarlar Anthropic'e karşı açtıkları davalarda ne iddia ediyorlar?

0:27 Tailscale'ın bu raporun adına karşı çıkmasının da bir nedeni var. Bunu sona saklayacağım. Bugün 28 Ekim Çarşamba ve bu The Daily Diff. Tailscale makinelerinizi tek bir özel ağa bağlar, ve Tailscale SSH, bir anahtar dosyası yerine Tailscale kimliğinizi kontrol eden yerleşik SSH sunucusudur. Root ayrıcalıklarına sahip bir işlem içinde çalışır. Usta anahtarı da elinde tutan bir kapıcı düşünün.

Birinci hikaye: bir Tailscale SSH oturumu nelere ulaşabilir?

0:50 Birinci hikaye. Güvenlik araştırmacısı Erica Windisch, Tailscale 1.10 4.2'yi üç gün boyunca test etti ve Tailworm adlı bir rapor yayınladı. Tailscale, raporun kendilerine Cumartesi sabahı ulaştığını, ve araştırmacının iki saat sonra yayınladığını söylüyor. Ana bulgu soket yönlendirme. Tailscale'ın kendi bülteni, SSH sunucusunun root olarak çalıştığını, soket yollarını metinleriyle kontrol ettiğini ve ardından işi root olarak yaptığını söylüyor. Bu üç yol sağladı: yalnızca root erişimine sahip bir sokete bağlantı,

1:16 root'a ait bir soketi silen uzaktan yönlendirme ve çekirdeğin kontrol sonrasında yolu tekrar çözümlediği bir yarış. Tailscale, bir saldırganın halihazırda tailnet'te olan bir cihazda bir dayanak noktasına ihtiyacı olduğunu, SSH ve yönlendirmeye her ikisine de ilke tarafından izin verildiğini söylüyor. Düzeltme 1.104.4 sürümünde ve yönlendirme artık oturum açmış kullanıcı olarak çalışıyor. Bugün güncelleyemezseniz, bülten yönlendirmeyi kapatan bir hizmet ayarını belgeliyor.

1:42 İkinci hikaye.

İkinci hikaye: Mac'teki git neden hala eMudhra'ya güveniyor?

1:44 Geçen Çarşamba eMudhra sertifika anahtarlarını ele aldım, ve dağıtılan istemcinin güveninin hala kontrol edilmesi gerektiğini söyledim. Apple'a bildirilmesinden bir haftadan fazla bir süre sonra, Dennis Jackson tarafından yürütülen bir araştırmacı sitesi, Mac'teki git, curl ve python'ın hala bu aracı sertifikaları kabul ettiğini söylüyor. Apple'ın kendi destek sayfası ayrılığı açıklıyor. Safari, Mail ve Apple'ın ağ çerçevelerindeki uygulamalar sertifikaları engelliyor, ve 19 Ekim'den beri bu böyle.

2:08 Ancak curl, git ve python gibi komut satırı araçları sistem klasöründeki bir sertifika dosyasını okur ve gelecekteki bir güncellemeye kadar Apple'ın engellemesini atlarlar. Araştırmacı sitesi, Pazartesi günü yayınlanan macOS 27.2'nin sorunu düzeltmediğini ve manuel geçici çözümü geri aldığını ekliyor. Apple'ın sayfası bir güncellemenin bu dosyayı değiştirebileceğini söylüyor, ve ben düzeltme için bir tarih bulamadım. Tailscale'ın 21 Ekim tarihli bu anahtarlar hakkındaki bülteni, istemcisinin sistem mağazasının güvendiği her şeye güvendiğini açıklıyor.

2:38 Bir Mac'te geliştirme yapıyorsanız veya Mac CI çalıştırıcıları çalıştırıyorsanız, araştırmacıların kontrolünü kendi git'iniz üzerinde çalıştırın, ardından Apple'ın adımlarını izleyin, bu da o dosyadan iki kök sertifikayı kaldırır. Apple bunun bazı siteleri bozabileceği ve bir güncellemenin bunu geri alabileceği konusunda uyarıyor, bu nedenle her güncellemeden sonra tekrar kontrol edin.

Üçüncü hikaye: Discord genel sunucuları web aramasına taşıyor

2:54 Üçüncü hikaye. Salı günü Discord, Keşfedilebilir Sunuculardaki tartışmaların web aramasında daha kolay bulunabilir hale geleceğini duyurdu. Bunlar en az bin üyeli en herkese açık sunucuları, ve Discord bunlardan altmış üç binden fazlasını sayıyor. İşte tarihler. Yönetici ve üye kontrolleri Salı günü dağıtılmaya başlandı. 16 Kasım'da her Keşfedilebilir Sunucu herkese açık bir web sayfasına sahip olacak, ve otomatik kanal özetleri üzerinde görünmeye başlayabilir.

3:18 Aralık ortasından itibaren, herkese açık kanallardan gelen mesajlar da web aramasında gösterilebilir, kullanıcı adları veya avatarlar olmadan, sunucunun yöneticileri izin verirse. Varsayılanlar önemlidir. Bir yönetici hiçbir şeyi değiştirmezse, herkese açık kanallar açık kalır. Üyeler Veri ve Gizlilik ayarlarında bir anahtar alır. Çoğu yerde açık başlar ve Avrupa Birliği ve Birleşik Krallık dahil altı yerde varsayılan olarak kapalıdır. Avrupa Birliği ve Birleşik Krallık dahil altı yerde varsayılan olarak kapalıdır. Genç hesaplar hariç tutulmuştur ve Aralık ortasından önceki mesajlar sayılmaz.

3:48 İki ayrıntıya dikkat edin. Üye anahtarı mesajları kapsarken, kanal özetleri ayrıca oluşturulur ve bir yönetici kapatana kadar açık kalır. Ve anahtar açıkken gönderilen bir mesaj, siz silmediğiniz sürece kalır. Bir topluluğu yönetiyorsanız, 16 Kasım'dan önce sunucu ayarlarında Web Varlığı'nı açın. Dördüncü hikaye, ve belgelenenlere sadık kalacağım.

Dördüncü hikaye: yazarlar, Claude ve ikinci bir dava

4:08 26 Ekim'de, yazarlarla 1,5 milyar dolarlık bir uzlaşmayı listeleyen Anthropic başvurusunu ele aldım. yazarlarla 1,5 milyar dolarlık bir uzlaşmayı listeleyen Anthropic başvurusunu ele aldım. Stanford Daily, Tobias Wolff dahil profesörlerin bu uzlaşmadan çekildiğini ve ayrı ayrı dava açtığını bildiriyor. Daily'ye göre, uzlaşma yaklaşık beş yüz bin eser için eser başına yaklaşık üç bin dolara tekabül ediyor. Daily'ye göre, uzlaşma yaklaşık beş yüz bin eser için eser başına yaklaşık üç bin dolara tekabül ediyor. Çekilme davası, bir jüriye, eser başına yüz elli bin dolara kadar, yani elli kat daha fazla yasal tazminat ve davacıların kitapları üzerinde eğitim yapılmaması için bir emir talep ediyor.

4:37 ve davacıların kitapları üzerinde eğitim yapılmaması için bir emir talep ediyor. Alttaki karar başlıktan daha dar. Yargıç Alsup, yasal olarak edinilmiş kitaplar üzerinde eğitimin adil kullanım olduğunu, ve korsan kopyalardan kalıcı bir kütüphane oluşturmanın adil kullanım olmadığını buldu. Yeni davalar korsan kopyalar iddia ediyor ve ben iddialarına ilişkin bir karar bulamadım. Eylül ayında, OpenAI LibGen dosyaları başka bir laboratuvar hakkında aynı soruyu gündeme getirdi. Eğitim verilerini topluyorsanız, her dosyanın nereden geldiğinin kaydını tutun. Karar, yasal olarak edinilmiş kitapları korsan kopyalardan ayırdı,

5:07 bu yüzden kopyaların kaynağı size sorulacak soru olacaktır. İsme geri dönelim. Tailscale, rapordaki hiçbir şeyin kendi kendine yayılmadığını söylüyor. Yolu yanal hareket olarak adlandırıyor, tailnet politikasının zaten izin verdiği bağlantılarla sınırlı ve yalnızca saldırganın zaten elinde tuttuğu bir cihazdan. Araştırmacının sayfası, kusurların düşük çabayla bulunduğunu yanıtlıyor. İkisi de doğru olabilir ve düzeltme her iki durumda da çıktı. Bunu benden duymak yerine okumak isterseniz, günlük diff her sabah gelen kutunuza ücretsiz olarak düşer, the daily diff dot dev adresinde, bağlantı aşağıdadır.

5:31 every morning, free at the daily diff dot dev, link below. Yani bugünkü karar İNCELENMESİ GEREKİYOR.

Karar: İNCELENMESİ GEREKİYOR

5:37 İnceleyeceğim çünkü Tailscale'ın düzeltmesi çıktı ama sunucularınız henüz güncellenmedi, Apple'ın komut satırı boşluğu hala açık, Discord'un varsayılanları 16 Kasım'da açılıyor ve yazarların Anthropic'e karşı iddiaları hala iddialardan ibaret. Ve bugünkü fark bu. Ben Axrisi'den Niko. Sorumlulukla birleştirin.

Kaynaklar

1. Tailscale SSH: Findings and fixesTailscale
2. Tailscale SSH: Investigation and remediation updateTailscale
3. Tailscale security bulletinsTailscale
4. Tailworm: Tailscale vulnerabilitiesCyberdione Labs (Erica Windisch)
5. Apple's git still trusts the compromised eMudhra certificatesDennis Jackson and contributors
6. About the compromised eMudhra intermediate CAsApple Support
7. Making Content from Discoverable Servers Easier to DiscoverDiscord
8. Anthropic illegally trained Claude with Stanford professors' booksThe Stanford Daily