Справаздача Jepsen аб ParticleDB, флэш-назапашвальнік Lenovo з адбіткам пальца, HackerTube Карпатага і памылка Linux TCP CVE-2026-98432: чатыры гісторыі распрацоўшчыкаў у адным The Daily Diff

Што ахоплівае гэта відэа

• Jepsen, лабараторыя па тэставанні баз дадзеных пад кіраўніцтвам Кайла Кінгсберы, апублікавала свой аналіз ParticleDB 31 кастрычніка 2026 года. ParticleDB — гэта база дадзеных Rust ад Orkes, прызначаная для ІІ-агентаў; Orkes прафінансавала працу. Jepsen пратэставаў версіі 1.1.4 да 1.1.18.11.rc-22 на адным вузле і прадставіў 96 праблем, большасць з якіх патрабавалі аднаго сервера, аднаго кліента і не патрабавалі збояў. Прыклады ў справаздачы: сказ WHERE 4 = 5 вяртаў радкі з першасным ключом 5, WHERE TRUE нічога не супадала, і UPDATE мог пакінуць некалькі радкоў з аднолькавым першасным ключом.
• На галоўнай старонцы ParticleDB рэкламавалася «Поўная ACID. 159K TPS.» і доказ TLA+, але Jepsen кажа, што падчас супрацоўніцтва спецыфікацыя TLA+ не была даступна, а тэкст пад «Поўнай ACID» паказваў ізаляцыю здымка. У 1.1.18.11.rc-22, апошняй версіі, пратэставанай Jepsen, стандартны рэжым транзакцый occ усё яшчэ губляў запісаныя дадзеныя падчас нармальнай працы, а самы строгі рэжым серыялізацыі дазваляў Lost Update пасля спынення працэсаў. Orkes заяўляе, што версія 1.1.19-rc.13 вырашае ўсе астатнія праблемы; Jepsen не ацэньваў яе і рэкамендуе карыстальнікам спыніць далейшае разгортванне ParticleDB і перайсці на іншыя базы дадзеных.
• Даследчык бяспекі Сюйшэн Лі выявіў, што флэш-назапашвальнік Lenovo ThinkPlus FU100 з адбіткам пальца, які прадаваўся як апаратурна зашыфраваны з AES-256, утрымліваў звычайную SD-карту, дадзеныя на якой не былі зашыфраваны; счытвальнік адбіткаў пальцаў толькі ўключаў USB-злучэнне. Ён паведаміў пра гэта 2 жніўня 2025 года, і першым выпраўленнем Lenovo быў пласт эпаксіднай смалы на SD-карце. Lenovo ацаніла сваё паведамленне як высокае, а пазнейшае выпраўленне для FU100 і звязаных з ім дыскаў патрабуе званка на сэрвісную лінію ў Кітаі, затым замены або абнаўлення прашыўкі на месцы, паводле Tom's Hardware.
• У наступным паведамленні ад Tom's Hardware, Лі выкарыстаў OpenAI's Codex разам з інструментам рэверс-інжынірынгу свайго працадаўцы супраць праграмнага забеспячэння абароны USB іншых вытворцаў; Netac заняла каля сямі хвілін, таму што ў яе быў убудаваны фіксаваны ключ, і яна запісвала пароль у дыягнастычныя журналы, а дыск іншага пастаўшчыка меў два схаваныя ўліковыя запісы, якія Лі называе бэкдорамі. Для дадзеных на USB-назапашвальніку шыфруйце файлы праграмным забеспячэннем, якім вы кіруеце, перш чым яны трапяць на прыладу.
• 31 кастрычніка 2026 года Андрэй Карпаты апісаў HackerTube, сайт у стылі YouTube на hackertube.org, створаны з дапамогай яго кадаванага агента прыкладна за дзве гадзіны. Агент спампаваў каментары Hacker News, адфільтраваў спам і захаваў каля 40 000 тых, што рэкамендуюць відэа на YouTube, атрымаўшы 6454 відэа з 2007 па 2026 год па 150 тэмах. Сайт паказвае кадр з 50-працэнтнай адзнакі замест загружанага эскіза. Карпаты пералічвае свае ручныя крокі як ключ API Google Cloud, сервер і дамен.
• CVE-2026-98432 - гэта выкарыстанне памяці пасля вызвалення ў IPv4 TCP-рукапажацці ядра Linux, ацэненае CVSS 9.8, даступнае выдаленым пірам без аўтарызацыі. Выпраўленне Эрыка Думазета замяніла два простыя выклікі kfree на kfree_rcu ў каміце ад 1 кастрычніка; стабільныя ядра з выпраўленнем былі выпушчаны 11 і 15 кастрычніка, а памылка існавала з Linux 4.4. Red Hat павысіла сваю ацэнку з Важнай да Крытычнай 30 кастрычніка. Ubuntu і Red Hat Enterprise Linux не мелі выпраўленага ядра ў суботу вечарам, 31 кастрычніка. Усталюйце выпраўленае ядро вашага дыстрыбутыва і перазагрузіцеся, у тым ліку хасты кантэйнераў, таму што кантэйнеры выкарыстоўваюць ядро хоста.
• Anthropic заяўляе, што Claude напісаў працуючы эксплойт для сервераў Linux з слухачом Multipath TCP, і што ў іх доказах канцэпцыі патрабуецца 48 хвілін для ўцечкі ўказальніка ядра і яшчэ пяць хвілін для выканання каманды абалонкі; эксплойт не апублікаваны. Каманда бяспекі Go адзначае, што праграмы Go ўключаюць слухачы Multipath TCP па змаўчанні з Go 1.24 і папярэджвае, што сістэмы без гэтага слухача могуць быць уразлівымі да падобных нападаў. Red Hat і AlmaLinux публікуюць правіла брандмаўэра, якое адкідае пакеты IPv4 TCP з опцыямі IP, што, паводле Red Hat, зніжае ўздзеянне і не цалкам прадухіляе эксплуатацыю.

Перакладзеная стэнаграма

Перакладзена з арыгінальнай англійскай агучкі. Даступнае аўдыя і субтытры кантралююцца YouTube.

Халодны старт: як у clause сказаць, што чатыры роўна пяці?

0:00 База дадзеных, якая рэкламуе поўную ACID, павінна захоўваць тое, што вы запісваеце. Jepsen пратэставаў адну і знайшоў дзевяноста шэсць праблем, у тым ліку ўмову where, якая казала, што чатыры роўна пяці і ўсё роўна вяртала радкі. У гэтым відэа чатыры гісторыі. Што Jepsen знайшоў у базе дадзеных, якая заяўляла поўную ACID? Што было ўнутры флэш-назапашвальніка з адбіткам пальца, які прадаваўся як зашыфраваны? Што Андрэй Карпаты стварыў за адну раніцу? І што вы латаеце для сеткавай памылкі Linux?

0:26 Адна з гэтых памылак ідзе з секундамерам. Я прачытаю гэта вам у канцы. Сёння нядзеля, першае лістапада, і гэта The Daily Diff. Jepsen - гэта лабараторыя тэставання Кайла Кінгсберы. Яна праводзіць базу дадзеных праз рэальныя нагрузкі і збоі і правярае, ці выконваюцца гарантыі на сайце. Уявіце інспектара, які насамрэч адчыняе халадзільнік.

Гісторыя першая: што Jepsen знайшоў у ParticleDB?

0:44 Гісторыя першая. У суботу Jepsen апублікаваў свой даклад па ParticleDB, базе дадзеных Rust ад Orkes, накіраванай на ІІ-агентаў. Orkes аплаціла працу. На галоўнай старонцы было напісана: Поўная ACID, сто пяцьдзясят дзевяць тысяч транзакцый у секунду. Jepsen тэставаў ParticleDB ад першай зборкі 1.1 да позняга кандыдата на выпуск. Сайт назваў яе фармальна даказанай, з доказам TLA плюс. Jepsen кажа, што падчас працы спецыфікацыя TLA плюс не была даступна.

1:10 Пад радком "Поўная ACID" на той жа старонцы было напісана "ізаляцыя здымка", што не з'яўляецца цалкам ізаляваным. Памылкі не былі тонкімі. Большасці патрэбен быў адзін сервер, адзін кліент і ніякіх унесеных збояў. Умова where, якая казала, што чатыры роўна пяці, вяртала радкі. Умова where, якая казала true, нічога не супадала. Абнаўленні пакідалі два радкі з аднолькавым першасным ключом. Апошні выпуск, пратэставаны Jepsen, кандыдат на выпуск дваццаць два,

1:36 быў значна больш бяспечным. Нягледзячы на гэта, стандартны рэжым транзакцый губляў запісаныя дадзеныя падчас нармальнай працы. Самы строгі рэжым усё яшчэ дазваляў страчаныя абнаўленні пасля завяршэння працэсу. Orkes кажа, што наступны выпуск выправіць усё гэта. Jepsen не тэставаў гэта. Такім чынам, у апошнім выпуску база дадзеных, якая абяцала поўны ACID, магла страціць запіс, які яна ўжо зафіксавала. Хуткасць, я мяркую, была выдатнай.

2:00 Парады Jepsen ясныя. Спыніце далейшае разгортванне ParticleDB і як мага хутчэй мігруйце на іншую базу дадзеных. Orkes вінаваціць "вясновы рэфактарынг" і кажа, што яе ўласныя кліенты, якія выкарыстоўвалі старую версію, верагодна, не пацярпелі. У дакументацыі па захаваных працэдурах нават быў выдуманы адрас электроннай пошты для Кайла Кінгсберы. Гісторыя другая. Lenovo ThinkPlus FU100 - гэта флэш-назапашвальнік з адбіткам пальца,

Гісторыя другая: што было ўнутры флэш-назапашвальніка Lenovo з адбіткам пальца?

2:21 які прадаваўся як апаратна зашыфраваны з AES-256. Даследчык бяспекі Сюйшэн Лі разабраў яго і знайшоў звычайную SD-карту, без шыфравання. Счытвальнік адбіткаў пальцаў вызначаў толькі адно: ці падключаны назапашвальнік да кампутара. Файлы на карце ніколі не залежалі ад яго. Лі паведаміў пра недахоп Lenovo ў жніўні 2025 года. Першым выпраўленнем быў пласт эпаксіднай смалы на SD-карце. Такім чынам, файлы ніколі не былі зашыфраваны.

2:47 Пачакайце, гэта проста SD-карта? Заўсёды была. Lenovo ацаніла сваё ўласнае паведамленне як высокае. Пазнейшае выпраўленне для FU100 і трох звязаных дыскаў азначае званок у сэрвісную службу ў Кітаі, затым альбо адпраўку дыска назад, альбо атрыманне абнаўлення прашыўкі на месцы. Lenovo раіць спачатку сцерці дадзеныя з дыска. На мінулым тыдні Лі накіраваў OpenAI's Codex, а таксама інструмент рэверс-інжынірынгу свайго

3:09 працадаўцы, на праграмнае забеспячэнне абароны USB іншых вытворцаў. Праграма Netac заняла каля сямі хвілін, таму што ў яе быў убудаваны фіксаваны ключ, і яна запісвала пароль у дыягнастычныя журналы. Адзін дыск меў два схаваныя ўліковыя запісы, якія Лі называе бэкдорамі. Калі бяспека дыска - гэта апаратнае забеспячэнне, праверце яго самі. Зашыфруйце файлы праграмным забеспячэннем, якім вы кіруеце, перш чым яны трапяць на флэшку, і разглядайце адбітак пальца як зручнасць.

Гісторыя трэцяя: што Карпаты стварыў за адну раніцу?

3:31 Гісторыя трэцяя, лёгкая. У пятніцу ўвечары Андрэй Карпаты адкрыў YouTube, убачыў тое, што ён назваў «засранай сцяной слякоты», і ў суботу раніцай загадаў свайму кадаванаму агенту стварыць замену з таго, што рэкамендуе Hacker News. Агент спампаваў каментары Hacker News, адфільтраваў спам, і захаваў каля сарака тысяч, якія рэкамендуюць відэа на YouTube. Гэта пакінула шэсць тысяч чатырыста пяцьдзясят чатыры відэа, з дзве тысячы сёмага года да цяпер, па ста пяцідзесяці тэмах.

3:58 Сайт hackertube.org. Ён паказвае кадр з сярэдзіны замест мініяцюры, якую выбраў загрузчык, што крыху крыўдна. Карпаты кажа, што ўся зборка заняла каля дзвюх гадзін. Яго адзінымі ручнымі крокамі былі ключ API Google, сервер і дамен. Дванаццатага кастрычніка я сказаў вам, што Карпаты лічыць, што доступ і задачы ствараюць прабел у тым, як людзі разумеюць гэтыя інструменты. Дзве гадзіны працы - гэта прыстойная кропка дадзеных.

4:21 Гісторыя чацвёртая, тая, па якой трэба дзейнічаць.

Гісторыя чацвёртая: што вы латаеце для CVE-2026-98432?

4:23 CVE 2026, 98432 - гэта выкарыстанне памяці пасля вызвалення ў IPv4 TCP-рукапажацці ядра Linux, ацэненае ў 9,8 з дзесяці. Яно дасягальна выдаленым пірам без аўтарызацыі. Эрык Дзюмазе напісаў выпраўленне 1 кастрычніка. Выпраўленне дасягнула стабільных ядраў 11 і 15 кастрычніка, і памылка існавала з Linux 4.4. Red Hat павысіла сваю ацэнку з важнай да крытычнай 30 кастрычніка. У суботу ўвечары Ubuntu і Red Hat Enterprise Linux усё яшчэ не мелі выпраўленага

4:52 ядра. Anthropic заяўляе, што Claude напісаў працуючы эксплойт для сервераў з слухачом multipath TCP, і што праграмы Go адкрывалі іх па змаўчанні з Go 1.24. Каманда Go папярэджвае, што сістэмы без гэтага слухача могуць быць уразлівымі да падобных нападаў, і кажа, што лепшае выпраўленне - гэта абноўленае ядро. Калі ў вашым дыстрыбутыве яшчэ няма выпраўленага ядра, Red Hat і AlmaLinux публікуюць правіла брандмаўэра, якое адкідае пакеты IPv4 TCP, якія нясуць опцыі IP. Red Hat кажа, што гэта зніжае ўздзеянне і не можа цалкам прадухіліць яго.

5:23 Пасля гэтага вы чакаеце. Што рабіць сёння. Усталюйце выпраўленае ядро вашага дыстрыбутыва і перазагрузіцеся, таксама на хастах кантэйнераў і вузлах Kubernetes, таму што кантэйнеры выкарыстоўваюць ядро хоста. Debian, Suse і Amazon Linux ужо маюць выпраўленні. Калі вы яшчэ не можаце выправіць, пачніце з хастоў, якія запускаюць слухачы multipath TCP. Цяпер секундамер, які я абяцаў.

Зноў да секундамера: колькі часу заняў эксплойт?

5:44 У ўласным доказе канцэпцыі Anthropic патрабуецца сорак восем хвілін, каб выцячы паказальнік ядра, потым яшчэ пяць хвілін, каб запусціць каманду абалонкі. Anthropic не апублікавала эксплойт. Калі вы аддаеце перавагу прачытаць гэта, чым пачуць ад мяне, The Daily Diff паступае ў вашу паштовую скрыню кожную раніцу, бясплатна на thedailydiff.dev, спасылка ніжэй.

Вердыкт: REVERT

6:02 Такім чынам, сённяшні вердыкт - REVERT. Я б адкаціў ParticleDB, таму што парада Jepsen - спыніць разгортванне, і я б выправіў гэта ядро, таму што яно ідзе з секундамерам. І гэта ўвесь "дыф" на сёння. Я Ніка з Axrisi. Злівайцеся адказна.

Крыніцы

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas