ParticleDB-nin Jepsen hesabatı, Lenovo-nun barmaq izi USB çubuğu, Karpathy-nin HackerTube-u və Linux TCP xətası CVE-2026-98432: bir Daily Diff-də dörd tərtibatçı hekayəsi

Bu videoda nələr əhatə olunur

• Kyle Kingsbury tərəfindən idarə olunan verilənlər bazası test laboratoriyası Jepsen, 31 oktyabr 2026-cı ildə ParticleDB-nin təhlilini dərc etdi. ParticleDB, Orkes tərəfindən AI agentləri üçün nəzərdə tutulmuş Rust verilənlər bazasıdır; Orkes işi maliyyələşdirdi. Jepsen, 1.1.4 versiyasından 1.1.18.11.rc-22-yə qədər olan versiyaları tək bir düyündə sınaqdan keçirdi və 96 problem təqdim edir, bunların əksəriyyəti bir serverə, bir müştəriyə və heç bir xətaya ehtiyac duyurdu. Hesabatda nümunələr: WHERE 4 = 5 bəndi əsas açar 5 olan sətirləri qaytarırdı, WHERE TRUE heç nəyə uyğun gəlmirdi və UPDATE birdən çox sətri eyni əsas açarla buraxa bilərdi.
• ParticleDB-nin əsas səhifəsi 'Tam ACID. 159K TPS.' və TLA+ sübutunu reklam edirdi, lakin Jepsen bildirir ki, əməkdaşlıq zamanı TLA+ spesifikasiyası mövcud deyildi və 'Tam ACID' altında olan mətn snapshot təcridini bildirirdi. Jepsen-in sınaqdan keçirdiyi son versiya olan 1.1.18.11.rc-22-də, standart occ əməliyyat rejimi normal əməliyyat zamanı hələ də təsdiq edilmiş yazıları itirirdi və ən sərt seriallaşdırıla bilən rejim proseslərin dayandırılmasından sonra İtirmiş Yeniləməyə icazə verirdi. Orkes 1.1.19-rc.13 versiyasının bütün qalan problemləri həll etdiyini bildirir; Jepsen onu qiymətləndirməyib və istifadəçilərə ParticleDB-nin daha da yerləşdirilməsini dayandırmağı və digər verilənlər bazalarına keçməyi tövsiyə edir.
• Təhlükəsizlik tədqiqatçısı Xusheng Li müəyyən etdi ki, AES-256 ilə hardware şifrəli kimi bazara çıxarılan Lenovo ThinkPlus FU100 barmaq izi USB çubuğu, məlumatları şifrələnməmiş adi bir SD kartı ehtiva edirdi; barmaq izi oxuyucusu yalnız USB bağlantısını işə salırdı. O, bunu 2 avqust 2025-ci ildə bildirdi və Lenovo-nun ilk düzəlişi SD kartın üzərinə bir qat epoksi idi. Lenovo öz məsləhətini yüksək qiymətləndirdi və Tom's Hardware-in məlumatına görə, FU100 və əlaqəli disklər üçün daha sonra düzəliş Çində bir xidmət xəttinə zəng etməyi, sonra isə dəyişdirmə və ya yerində proqram təminatının yenilənməsini tələb edir.
• Tom's Hardware-in bildirdiyi bir izləmə məlumatında, Li OpenAI-nin Codex-ini öz işəgötürənin tərs mühəndislik aləti ilə digər istehsalçıların USB qoruma proqramına qarşı istifadə etdi; Netac-ınkı təxminən yeddi dəqiqə çəkdi, çünki sabit bir açarı var idi və şifrəni diaqnostik jurnallara yazırdı, digər bir satıcının diskində isə Li-nin arxa qapılar adlandırdığı iki gizli hesabı var idi. Bir USB çubuğundakı məlumatlar üçün, cihazlara çatmazdan əvvəl idarə etdiyiniz proqramla faylları şifrələyin.
• 31 oktyabr 2026-cı ildə Andrej Karpathy, təxminən iki saata öz kodlama agenti ilə qurulmuş hackertube.org saytında YouTube tipli HackerTube-u təsvir etdi. Agent Hacker News şərhlərini yüklədi, spamı filtrlədi və YouTube videosunu tövsiyə edən təxminən 40,000-ni saxladı, nəticədə 2007-ci ildən 2026-cı ilə qədər 150 mövzu üzrə 6,454 video əldə edildi. Sayt yüklənmiş kiçik şəkil əvəzinə 50 faiz işarəsindəki çərçivəni göstərir. Karpathy öz əl addımlarını bir Google Cloud API açarı, bir server və bir domen kimi sadalayır.
• CVE-2026-98432, Linux nüvəsinin IPv4 TCP əl sıxmasında use-after-free xətasıdır, CVSS 9.8 balı ilə qiymətləndirilir, uzaq bir tərəf daxil olmadan çata bilər. Eric Dumazet-in düzəlişi, 1 oktyabr tarixli bir commit-də iki adi kfree çağırışını kfree_rcu ilə əvəz etdi; düzəlişi olan stabil nüvələr 11 və 15 oktyabrda buraxıldı və xəta Linux 4.4-ə qədər gedir. Red Hat 30 oktyabrda öz reytinqini Vacibdən Kritikə qaldırdı. Ubuntu və Red Hat Enterprise Linux 31 oktyabr şənbə axşamı heç bir düzəldilmiş nüvəni siyahıya almadı. Distributivinizin düzəldilmiş nüvəsini quraşdırın və yenidən başladın, o cümlədən konteyner hostları, çünki konteynerlər host nüvəsini paylaşır.
• Anthropic bildirir ki, Claude çoxyollu TCP dinləyicisi olan Linux serverləri üçün işləyən bir istismar kodu yazdı və onun təsdiq konsepsiyasında bir nüvə göstəricisini sızdırmaq 48 dəqiqə, sonra isə bir shell əmrini icra etmək üçün daha beş dəqiqə çəkir; istismar kodu dərc edilməyib. Go Təhlükəsizlik Komandası qeyd edir ki, Go proqramları Go 1.24-dən bəri çoxyollu TCP dinləyicilərini standart olaraq aktivləşdirir və bu dinləyicisi olmayan sistemlərin oxşar hücumlara qarşı həssas ola biləcəyini xəbərdar edir. Red Hat və AlmaLinux, IP seçimləri olan IPv4 TCP paketlərini atan bir firewall qaydası dərc edir ki, Red Hat-ın bildirdiyinə görə bu, riskləri azaldır və istismarın tam qarşısını almır.

Tərcümə olunmuş transkript

Orijinal ingilis dilindəki nəqldən tərcümə edilmişdir. Mövcud audio və subtitrlər YouTube tərəfindən idarə olunur.

Soyuq açılış: where bəndi dördün beşə bərabər olduğunu necə deyir?

0:00 Tam ACID reklam edən bir verilənlər bazası yazdığınızı saxlamalıdır. Jepsen birini sınaqdan keçirdi və doxsan altı problem tapdı, o cümlədən bir where bəndi dördün beşə bərabər olduğunu deyirdi və hələ də sətirləri qaytarırdı. Bu videoda dörd hekayə var. Jepsen Tam ACID iddia edən bir verilənlər bazasında nə tapdı? Şifrələnmiş kimi satılan barmaq izi USB çubuğunun içində nə var idi? Andrej Karpathy bir səhər nə qurdu? Və Linux şəbəkə xətası üçün nəyi yamaqlayırsınız?

0:26 Bu xətalardan biri saniyəölçənlə gəlir. Sonda sizə oxuyacağam. Bu bazar günü, noyabrın biri, və bu Daily Diff-dir. Jepsen Kyle Kingsbury-nin test laboratoriyasıdır. Bir verilənlər bazasını real iş yüklərindən və uğursuzluqlardan keçirir və veb saytdakı zəmanətlərin yerində olub olmadığını yoxlayır. Soyuducuyu həqiqətən açan bir inspektor kimi düşünün.

Birinci hekayə: Jepsen ParticleDB-də nə tapdı?

0:44 Birinci hekayə. Şənbə günü Jepsen ParticleDB haqqında hesabatını dərc etdi, Orkes tərəfindən AI agentləri üçün nəzərdə tutulmuş bir Rust verilənlər bazasıdır. Orkes işi ödədi. Əsas səhifədə Tam ACID, yüz əlli doqquz min əməliyyat saniyədə yazılırdı. Jepsen ParticleDB-ni ilk 1.1 quruluşundan son buraxılış namizədinə qədər sınaqdan keçirdi. Sayt onu rəsmi olaraq sübut edilmiş TLA plus sübutu ilə adlandırırdı. Jepsen deyir ki, iş zamanı TLA plus spesifikasiyası mövcud deyildi.

1:10 Tam ACID sətrinin altında, eyni səhifədə snapshot təcridi yazılırdı, bu tamamilə təcrid olunmur. Xətalar incə deyildi. Əksəriyyəti bir serverə, bir müştəriyə və heç bir uğursuzluq yerləşdirilmədən ehtiyac duyurdu. Dördün beşə bərabər olduğunu deyən bir where bəndi sətirləri qaytarırdı. Həqiqət olduğunu deyən bir where bəndi heç nəyə uyğun gəlmədi. Yeniləmələr eyni əsas açarla iki sətri buraxdı. Jepsen-in sınaqdan keçirdiyi son buraxılış, buraxılış namizədi iyirmi iki,

1:36 çox daha təhlükəsiz idi. Buna baxmayaraq, standart əməliyyat rejimi normal əməliyyat zamanı təsdiq edilmiş yazıları itirirdi. Ən sərt rejim prosesin dayandırılmasından sonra itirilmiş yeniləmələrə hələ də icazə verirdi. Orkes deyir ki, növbəti buraxılışı bütün bunları düzəldir. Jepsen bunu sınaqdan keçirməyib. Beləliklə, o son buraxılışda Tam ACID vəd edən bir verilənlər bazası artıq təsdiqlədiyi bir yazını itirə bilərdi. Sürət, güman edirəm ki, əla idi.

2:00 Jepsen-in məsləhəti sadədir. ParticleDB-nin daha da yerləşdirilməsini dayandırın və mümkün qədər tez başqa bir verilənlər bazasına keçin. Orkes bir bahar yenidənqurmasını günahlandırır və deyir ki, öz müştəriləri, köhnə bir versiyada, böyük ehtimalla təsirlənməyib. Saxlanılan prosedur sənədləri hətta Kyle Kingsbury üçün bir e-poçt ünvanı yaratdı. İkinci hekayə. Lenovo ThinkPlus FU yüz barmaq izi USB çubuğudur

İkinci hekayə: Lenovo barmaq izi USB çubuğunun içində nə var idi?

2:21 AES iki yüz əlli altı ilə hardware şifrəli kimi bazara çıxarılır. Təhlükəsizlik tədqiqatçısı Xusheng Li birini ayırdı və adi bir SD kart tapdı, üzərində heç nə şifrələnməyib. Barmaq izi oxuyucusu bir şeyi təyin edirdi, çubuğun kompüterə qoşulub-qoşulmadığını. Kartdakı fayllar heç vaxt bundan asılı deyildi. Li 2025-ci ilin avqustunda xətanı Lenovo-ya bildirdi. İlk düzəliş SD kartın üzərinə bir qat epoksi idi. Beləliklə, fayllar heç vaxt şifrələnmədi.

2:47 Gözləyin, bu sadəcə bir SD kartdır? Həmişə belə olub. Lenovo öz məsləhətini yüksək qiymətləndirdi. Daha sonraki düzəliş, FU yüz və üç əlaqəli disk üçün, Çində bir xidmət xəttinə zəng etmək, sonra ya diski geri göndərmək, ya da yerində proqram təminatı yeniləməsi almaq deməkdir. Lenovo əvvəlcə diski silməyi tövsiyə edir. Keçən həftə Li OpenAI-nin Codex-ini, üstəgəl işəgötürənin tərs mühəndislik

3:09 alətini, digər istehsalçıların USB qoruma proqramına yönəltdi. Netac-ınkı təxminən yeddi dəqiqə çəkdi, çünki sabit bir açarı var idi və şifrəni diaqnostik jurnallara yazırdı. Bir diskdə Li-nin arxa qapılar adlandırdığı iki gizli hesabı var idi. Əgər bir diskin təhlükəsizliyi hardwaredirsə, özünüz yoxlayın. Faylları çubuğa çatmadan əvvəl idarə etdiyiniz proqramla şifrələyin, və barmaq izini bir rahatlıq kimi qəbul edin.

Üçüncü hekayə: Karpathy bir səhər nə qurdu?

3:31 Üçüncü hekayə, yüngül olanı. Cümə axşamı Andrej Karpathy YouTube-u açdı, özünün 'enshittified wall of slop' adlandırdığı şeyi gördü, və şənbə səhəri kodlaşdırma agentinə Hacker News-in tövsiyə etdiyi hər şeydən bir əvəz qurmasını söylədi. Agent Hacker News şərhlərini yüklədi, spamı filtrlədi, və YouTube videosunu tövsiyə edən təxminən qırx minini saxladı. Bu, iki min yeddidən indiyə qədər altı min dörd yüz əlli dörd videonu qaldırdı, yüz əlli mövzuda.

3:58 Sayt hackertube dot org-dur. Yükləyicinin seçdiyi kiçik şəkil əvəzinə yarı yoldan kadrı göstərir, bu bir az acıdır. Karpathy deyir ki, bütün quruluş təxminən iki saat çəkdi. Onun yeganə əl addımları bir Google API açarı, bir server və bir domen idi. Oktyabrın on ikisində sizə Karpathy-nin bu alətləri insanların necə başa düşdüyündə giriş və vəzifələrin bir boşluq yaratdığını düşündüyünü söylədim. İki saatlıq iş layiqli bir məlumat nöqtəsidir. Dördüncü hekayə, hərəkətə keçməli olan.

4:21 CVE iyirmi iyirmi altı, doxsan səkkiz qırx üç iki, Linux nüvəsinin IP v dörd TCP əl sıxmasında

Dördüncü hekayə: CVE-2026-98432 üçün nəyi yamaqlayırsınız?

4:23 on üzərindən doqquz nöqtə səkkiz balla qiymətləndirilən use-after-free xətasıdır. Uzaq bir tərəf daxil olmadan ona çata bilər. Eric Dumazet düzəlişi oktyabrın birində yazdı. Düzəliş stabil nüvələrə oktyabrın on birində və on beşində çatdı, və xəta Linux dörd nöqtə dördə qədər gedir. Red Hat oktyabrın otuzunda öz reytinqini vacibdən kritikə qaldırdı. Şənbə axşamı, Ubuntu və Red Hat Enterprise Linux hələ də düzəldilmiş nüvəni siyahıya almırdı.

4:52 Anthropic deyir ki, Claude çoxyollu TCP dinləyicisi olan serverlər üçün işləyən bir istismar kodu yazdı, və Go proqramları Go bir nöqtə iyirmi dörddən bəri bunları standart olaraq açır. Go komandası xəbərdar edir ki, bu dinləyici olmayan sistemlər oxşar hücumlara qarşı həssas ola bilər və ən yaxşı düzəlişin yamaqlanmış nüvə olduğunu deyir. Əgər distributivinizdə hələ düzəldilmiş nüvə yoxdursa, Red Hat və AlmaLinux IP seçimləri daşıyan IPv4 TCP paketlərini atan bir firewall qaydası dərc edir. Red Hat deyir ki, bu, riski azaldır və onu tamamilə qarşısını ala bilməz. Bundan sonra gözləyirsiniz. Bu gün nə etməli. Distributivinizin düzəldilmiş nüvəsini quraşdırın və yenidən başladın, konteyner hostlarında və

5:23 Kubernetes düyünlərində də, çünki konteynerlər host nüvəsini paylaşır. Debian, Suse və Amazon Linux artıq düzəlişlərə malikdir. Əgər hələ yamaqlaya bilmirsinizsə, çoxyollu TCP dinləyiciləri işlədən hostlardan başlayın. İndi vəd etdiyim saniyəölçən. Anthropic-in öz təsdiq konsepsiyasında, bir nüvə göstəricisini sızdırmaq qırx səkkiz dəqiqə çəkir, sonra isə bir shell əmrini icra etmək üçün daha beş dəqiqə. Anthropic istismar kodunu dərc etməyib.

Saniyəölçənə qayıdaq: istismar nə qədər vaxt çəkdi?

5:44 Əgər məni dinləməkdənsə, bunu oxumaq istəyirsinizsə, fərq hər səhər elektron poçtunuza gəlir, gündəlik diff dot dev saytında pulsuzdur, link aşağıdadır. Beləliklə, bu günün qərarı REVERT-dir. ParticleDB-ni geri qaytarardım, çünki Jepsen-in məsləhəti yerləşdirməni dayandırmaqdır, və o nüvəni yamaqlardım, çünki o saniyəölçənlə gəlir.

Qərar: REVERT

6:02 Və bu gün üçün fərq budur. Mən Axrisi-dən Nikom. Məsuliyyətlə birləşdirin. Məsuliyyətlə birləşdirin. Məsuliyyətlə birləşdirin. Məsuliyyətlə birləşdirin.

Mənbələr

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas