ParticleDB se Jepsen-verslag, Lenovo se vingerafdruk USB-stokkie, Karpathy se HackerTube en die Linux TCP-fout CVE-2026-98432: vier ontwikkelaarstories in een Daily Diff

Wat hierdie video dek

• Jepsen, die databasis-toetslaboratorium wat deur Kyle Kingsbury bestuur word, het sy ontleding van ParticleDB op 31 Oktober 2026 gepubliseer. ParticleDB is 'n Rust-databasis van Orkes wat op AI-agente gemik is; Orkes het die werk befonds. Jepsen het weergawes 1.1.4 tot 1.1.18.11.rc-22 op 'n enkele nodus getoets en bied 96 kwessies aan, waarvan die meeste een bediener, een kliënt en geen foute benodig het nie. Voorbeelde in die verslag: 'n WHERE 4 = 5-klousule het rye met primêre sleutel 5 teruggestuur, WHERE TRUE het niks gepas nie, en 'n UPDATE kon verskeie rye met dieselfde primêre sleutel laat.
• Die ParticleDB-tuisblad het 'Volle ACID. 159K TPS.' en 'n TLA+-bewys geadverteer, maar Jepsen sê geen TLA+-spesifikasie was beskikbaar tydens die samewerking nie, en die teks onder 'Volle ACID' het momentopname-isolasie gesê. In 1.1.18.11.rc-22, die laaste weergawe wat Jepsen getoets het, het die verstek-occ-transaksiemodus steeds toegewyde skryfaksies tydens normale werking verloor, en die strengste serialiseerbare modus het Verlore Opdatering na proses-afslae toegelaat. Orkes sê weergawe 1.1.19-rc.13 los alle oorblywende kwessies op; Jepsen het dit nie geëvalueer nie en beveel aan dat gebruikers verdere ontplooiing van ParticleDB staak en na ander databasisse migreer.
• Sekuriteitsnavorser Xusheng Li het bevind dat die Lenovo ThinkPlus FU100-vingerafdruk-USB-stokkie, wat as hardeware geënkripteer met AES-256 bemark is, 'n gewone SD-kaart bevat het waarvan die data nie geënkripteer was nie; die vingerafdrukleser het slegs die USB-verbinding aangeskakel. Hy het dit op 2 Augustus 2025 gerapporteer, en Lenovo se eerste oplossing was 'n laag epoksie oor die SD-kaart. Lenovo het sy advies hoog aangeslaan, en 'n latere oplossing vir die FU100 en verwante dryf vereis dat 'n dienslyn in China gebel word, dan 'n vervanging of 'n op-terrein-firmware-opgradering, volgens Tom's Hardware.
• In 'n opvolg wat deur Tom's Hardware gerapporteer is, het Li OpenAI se Codex saam met sy werkgewer se omgekeerde ingenieursinstrument teen ander vervaardigers se USB-beskermingsagteware gebruik; Netac s'n het ongeveer sewe minute geneem omdat dit 'n vaste sleutel ingebou het en die wagwoord na diagnostiese logboeke geskryf het, en 'n ander verskaffer se skyf het twee versteekte rekeninge gehad wat Li "agterdeure" noem. Vir data op 'n USB-stokkie, enkripteer lêers met sagteware wat jy beheer voordat dit die toestel bereik.
• Op 31 Oktober 2026 het Andrej Karpathy HackerTube beskryf, 'n YouTube-styl webwerf by hackertube.org wat met sy koderingsagent in ongeveer twee uur gebou is. Die agent het Hacker News-kommentaar afgelaai, strooipos gefiltreer en ongeveer 40 000 gehou wat 'n YouTube-video aanbeveel, wat 6 454 video's van 2007 tot 2026 oor 150 onderwerpe opgelewer het. Die webwerf wys die raam op die 50 persent punt in plaas van die opgelaaide kleinkiekie. Karpathy lys sy handmatige stappe as 'n Google Cloud API-sleutel, 'n bediener en 'n domein.
• CVE-2026-98432 is 'n gebruik-na-vry in die Linux-kern se IPv4 TCP-handdruk, met 'n CVSS-telling van 9.8, bereikbaar deur 'n afgeleë eweknie sonder aanmelding. Eric Dumazet se oplossing het twee gewone kfree-oproepe vervang met kfree_rcu in 'n verbinding gedateer 1 Oktober; stabiele kerne met die oplossing is op 11 en 15 Oktober verskeep, en die fout dateer terug na Linux 4.4. Red Hat het sy gradering van Belangrik na Kritiek op 30 Oktober verhoog. Ubuntu en Red Hat Enterprise Linux het Saterdagaand, 31 Oktober, geen vaste kern gelys nie. Installeer jou verspreiding se vaste kern en herlaai, insluitend houerhoste, want houers deel die gasheer-kern.
• Anthropic sê Claude het 'n werkende uitbuiting vir Linux-bedieners met 'n multipath TCP-luisteraar geskryf, en dat dit in sy bewys van konsep 48 minute neem om 'n kernwyserkode te lek en nog vyf minute om 'n dopopdrag uit te voer; die uitbuiting is nie gepubliseer nie. Die Go Security Team merk op dat Go-programme multipath TCP-luisteraars by verstek aanskakel sedert Go 1.24 en waarsku dat stelsels sonder daardie luisteraar kwesbaar kan wees vir soortgelyke aanvalle. Red Hat en AlmaLinux publiseer 'n firewall-reël wat IPv4 TCP-pakkette met IP-opsies laat val, wat volgens Red Hat blootstelling verminder en nie ten volle uitbuiting voorkom nie.

Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

Koue opening: hoe sê 'n waar-klousule vier is gelyk aan vyf?

0:00 'n Databasis wat Volle ACID adverteer, word veronderstel om te behou wat jy skryf. Jepsen het een getoets en ses-en-negentig kwessies gevind, insluitend 'n waar-klousule wat gesê het vier is gelyk aan vyf en steeds rye teruggegee het. In hierdie video, vier stories. Wat het Jepsen gevind in 'n databasis wat Volle ACID beweer het? Wat was binne-in 'n vingerafdruk-USB-stokkie wat as geënkripteer verkoop is? Wat het Andrej Karpathy in een oggend gebou? En wat patch jy vir 'n Linux-netwerkfout?

0:26 Een van daardie foute kom met 'n stophorlosie. Ek sal dit aan jou voorlees aan die einde. Dis Sondag, eerste November, en dit is The Daily Diff. Jepsen is Kyle Kingsbury se toetslaboratorium. Dit laat 'n databasis deur regte werklading en mislukkings loop en kyk of die waarborge op die webwerf hou. Dink aan 'n inspekteur wat eintlik die yskas oopmaak.

Storie een: wat het Jepsen in ParticleDB gevind?

0:44 Storie een. Saterdag het Jepsen sy verslag oor ParticleDB gepubliseer, 'n Rust-databasis van Orkes gerig op AI-agente. Orkes het vir die werk betaal. Die tuisblad het Volle ACID, honderd-nege-en-vyftigduisend transaksies per sekonde gesê. Jepsen het ParticleDB getoets van sy eerste 1.1-bou tot 'n latere vrystellingkandidaat. Die webwerf het dit formeel bewys genoem, met 'n TLA+-bewys. Jepsen sê geen TLA+-spesifikasie was beskikbaar tydens die werk nie.

1:10 Onder die Volle ACID-lyn het dieselfde bladsy momentopname-isolasie gesê, wat nie ten volle geïsoleer is nie. Die foute was nie subtiel nie. Die meeste het een bediener, een kliënt en geen ingespuite foute benodig nie. 'n Waar-klousule wat gesê het vier is gelyk aan vyf het rye teruggegee. 'n Waar-klousule wat gesê het waar het niks gepas nie. Opdaterings het twee rye met dieselfde primêre sleutel gelaat. Die laaste vrystelling wat Jepsen getoets het, vrystellingkandidaat twee-en-twintig,

1:36 was baie veiliger. Selfs toe het die verstek transaksie-modus toegewyde skryfaksies verloor tydens normale werking. Die strengste modus het steeds verlore opdaterings toegelaat na 'n prosesafsluiting. Orkes sê sy volgende vrystelling los dit alles op. Jepsen het dit nie getoets nie. So in daardie laaste vrystelling kon 'n databasis wat Volle ACID beloof het, 'n skryfaksie verloor wat dit reeds toegewy het. Die spoed, neem ek aan, was uitstekend.

2:00 Jepsen se raad is duidelik. Staak verdere ontplooiing van ParticleDB en migreer so gou moontlik na 'n ander databasis. Orkes blameer 'n lente-herfaktuur en sê sy eie kliënte, op 'n ouer weergawe, was waarskynlik onaangeraak. Die gestoorde prosedure-dokumente het selfs 'n e-posadres vir Kyle Kingsbury uitgevind. Storie twee. Die Lenovo ThinkPlus FU honderd is 'n vingerafdruk USB-stokkie

Storie twee: wat was binne-in die Lenovo-vingerafdruk-USB-stokkie?

2:21 wat as hardeware geënkripteer met AES twee vyf-en-sestig bemark word. Sekuriteitsnavorser Xusheng Li het een oopgemaak en 'n gewone SD-kaart gevind, met niks daarop geënkripteer nie. Die vingerafdrukleser het een ding besluit, of die stokkie aan die rekenaar gekoppel het. Die lêers op die kaart het nooit daarvan afgehang nie. Li het die fout aan Lenovo in Augustus twintig vyf-en-twintig gerapporteer. Die eerste oplossing was 'n laag epoksie oor die SD-kaart. So die lêers was nooit geënkripteer nie.

2:47 Wag, dis net 'n SD-kaart? Was nog altyd. Lenovo het sy eie advies hoog aangeslaan. Die latere oplossing, vir die FU een honderd en drie verwante drywe, beteken om 'n dienslyn in China te bel, dan óf die dryf terug te stuur óf 'n op-terrein-firmware-opgradering te kry. Lenovo raai aan om die dryf eers skoon te vee. Verlede week het Li OpenAI se Codex, plus sy werkgewer se omgekeerde ingenieursinstrument,

3:09 op ander vervaardigers se USB-beskermingsagteware gerig. Netac s'n het ongeveer sewe minute geneem, want dit het 'n vaste sleutel ingebou en die wagwoord na diagnostiese logboeke geskryf. Een dryf het twee versteekte rekeninge gehad wat Li agterdeure noem. As 'n dryf se sekuriteit die hardeware is, kontroleer dit self. Enkripteer die lêers met sagteware wat jy beheer voordat hulle die stokkie bereik, en behandel die vingerafdruk as 'n gerief.

Storie drie: wat het Karpathy in een oggend gebou?

3:31 Storie drie, die ligte een. Vrydagaand het Andrej Karpathy YouTube oopgemaak, gesien wat hy 'n 'verslikte muur van gemors' genoem het, en Saterdagoggend sy koderingsagent aangesê om 'n plaasvervanger te bou uit wat ook al Hacker News aanbeveel. Die agent het die Hacker News-kommentaar afgelaai, strooipos uitgefiltreer, en ongeveer veertigduisend gehou wat 'n YouTube-video aanbeveel. Dit het sesduisend vierhonderd vier-en-vyftig video's gelaat, van tweeduisend-sewe tot nou, in honderd-en-vyftig onderwerpe.

3:58 Die webwerf is hackertube dot org. Dit wys die raam van die halfpad-merk in plaas van die kleinkiekie wat die oplaaier gekies het, wat 'n bietjie steek. Karpathy sê die hele bou het ongeveer twee uur geneem. Sy enigste handmatige stappe was 'n Google API-sleutel, 'n bediener en 'n domein. Op twaalf Oktober het ek jou vertel Karpathy dink toegang en take skep 'n gaping in hoe mense hierdie gereedskap verstaan. Twee uur se werk is 'n ordentlike datapunt.

4:21 Storie vier, die een om op te reageer.

Storie vier: wat patch jy vir CVE-2026-98432?

4:23 CVE twintig twee-en-twintig, agt-en-negentig vier-en-dertig-twee is 'n gebruik-na-vry in die Linux-kern se IPv4 TCP-handdruk, met 'n telling van nege punt agt uit tien. 'n Afgeleë eweknie sonder aanmelding kan dit bereik. Eric Dumazet het die oplossing op eerste Oktober geskryf. Die oplossing het op elf en vyftien Oktober stabiele kerne bereik, en die fout dateer terug na Linux vier punt vier. Red Hat het sy gradering van belangrik na kritiek op dertigste Oktober verhoog. Saterdagaand het Ubuntu en Red Hat Enterprise Linux steeds geen vaste

4:52 kern gelys nie. Anthropic sê Claude het 'n werkende uitbuiting geskryf vir bedieners met 'n multipath TCP- luisteraar, en Go-programme het dit by verstek oopgemaak sedert Go een punt twintig- vier. Die Go-span waarsku dat stelsels sonder daardie luisteraar kwesbaar kan wees vir soortgelyke aanvalle, en sê die beste oplossing is 'n gepatchte kern. As jou verspreiding nog geen vaste kern het nie, publiseer Red Hat en AlmaLinux 'n firewall-reël wat IPv4 TCP-pakkette wat IP-opsies dra, laat val. Red Hat sê dit verminder blootstelling en kan dit nie ten volle voorkom nie.

5:23 Daarna wag jy. Wat om vandag te doen. Installeer jou verspreiding se vaste kern en herlaai, ook op houerhoste en Kubernetes-nodes, want houers deel die gasheer-kern. Debian, Suse en Amazon Linux het reeds oplossings. As jy nog nie kan patch nie, begin met hoste wat multipath TCP-luisteraars uitvoer. Nou die stophorlosie wat ek belowe het.

Terug na die stophorlosie: hoe lank het die uitbuiting geneem?

5:44 In Anthropic se eie bewys van konsep, neem dit agt-en-veertig minute om 'n kernwyserkode te lek, dan nog vyf minute om 'n dopopdrag uit te voer. Anthropic het die uitbuiting nie gepubliseer nie. As jy dit eerder wil lees as om my dit te hoor sê, land die diff elke oggend in jou inkassie, gratis by the daily diff dot dev, skakel hieronder.

Uitspraak: REVERT

6:02 So vandag se uitspraak is REVERT. Ek sou ParticleDB terugrol, want Jepsen se raad is om ontplooiing te staak, en ek sou daardie kern patch, want dit kom met 'n stophorlosie. En dit is die verskil vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

Bronne

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas