Jepsen доклад за ParticleDB, Lenovo флашка с пръстов отпечатък, HackerTube на Карпати и TCP бъгът в Linux CVE-2026-98432: четири истории за разработчици в един Daily Diff

Какво обхваща този видеоклип

• Jepsen, лабораторията за тестване на бази данни, ръководена от Кайл Кингсбъри, публикува своя анализ на ParticleDB на 31 октомври 2026 г. ParticleDB е база данни на Rust от Orkes, предназначена за AI агенти; Orkes финансира работата. Jepsen тества версии 1.1.4 до 1.1.18.11.rc-22 на един възел и представя 96 проблема, повечето от които се нуждаят от един сървър, един клиент и без грешки. Примери в доклада: клауза WHERE 4 = 5 връща редове с първичен ключ 5, WHERE TRUE не съвпада с нищо, и UPDATE може да остави множество редове с един и същ първичен ключ.
• Началната страница на ParticleDB рекламираше „Пълен ACID. 159K TPS.“ и TLA+ доказателство, но Jepsen казва, че по време на сътрудничеството не е налична TLA+ спецификация, а текстът под „Пълен ACID“ гласи изолация на моментна снимка. Във версия 1.1.18.11.rc-22, последната версия, която Jepsen тества, режимът на транзакция по подразбиране (occ) все още губи записани данни по време на нормална работа, а най-строгият сериализируем режим позволява загубени актуализации след спиране на процеси. Orkes казва, че версия 1.1.19-rc.13 решава всички останали проблеми; Jepsen не я е оценявал и препоръчва на потребителите да спрат по-нататъшното внедряване на ParticleDB и да мигрират към други бази данни.
• Изследователят по сигурността Сюшенг Ли откри, че USB флашката Lenovo ThinkPlus FU100 с пръстов отпечатък, продавана като хардуерно криптирана с AES-256, съдържа обикновена SD карта, чиито данни не са криптирани; четецът на пръстови отпечатъци само включва USB връзката. Той съобщи за това на 2 август 2025 г., а първата корекция на Lenovo беше слой епоксидна смола върху SD картата. Lenovo оцени своето предупреждение като високо, а по-късна корекция за FU100 и свързани устройства изисква обаждане на сервизна линия в Китай, последвано от замяна или надграждане на фърмуера на място, според Tom's Hardware.
• В последващ доклад, съобщен от Tom's Hardware, Ли използва Codex на OpenAI с инструмента за обратен инженеринг на своя работодател срещу софтуер за USB защита на други производители; този на Netac отне около седем минути, защото имаше фиксиран ключ и записваше паролата в диагностичните логове, а устройство на друг доставчик имаше два скрити акаунта, които Ли нарича "задни врати". За данни на USB флашка, криптирайте файловете със софтуер, който контролирате, преди да достигнат до устройството.
• На 31 октомври 2026 г. Андрей Карпати описа HackerTube, сайт в стил YouTube на hackertube.org, изграден с неговия кодиращ агент за около два часа. Агентът изтегли коментари от Hacker News, филтрира спама и запази около 40 000, които препоръчват видеоклип в YouTube, което даде 6 454 видеоклипа от 2007 г. до 2026 г. по 150 теми. Сайтът показва кадър от 50-процентовата отметка вместо качената миниатюра. Карпати изброява ръчните си стъпки като ключ за Google Cloud API, сървър и домейн.
• CVE-2026-98432 е use-after-free в IPv4 TCP ръкостискането на ядрото на Linux, оценено по CVSS 9.8, достъпно от отдалечен партньор без вход. Поправката на Ерик Думазе е заменила две обикновени извиквания на kfree с kfree_rcu във фикс от 1 октомври; стабилните ядра с фикса са изпратени на 11 и 15 октомври, а грешката датира от Linux 4.4. Red Hat повиши оценката си от Важна на Критична на 30 октомври. Ubuntu и Red Hat Enterprise Linux не посочиха фиксирано ядро в събота вечер, 31 октомври. Инсталирайте фиксираното ядро на вашата дистрибуция и рестартирайте, включително хостовете на контейнери, защото контейнерите споделят ядрото на хоста.
• Anthropic казва, че Claude е написал работещ експлойт за Linux сървъри с многопътен TCP слушател и че в тяхното доказателство за концепция отнема 48 минути за изтичане на указател на ядрото и още пет минути за изпълнение на шел команда; експлойтът не е публикуван. Екипът по сигурността на Go отбелязва, че програмите на Go активират многопътни TCP слушатели по подразбиране от Go 1.24 и предупреждава, че системите без този слушател могат да бъдат уязвими за подобни атаки. Red Hat и AlmaLinux публикуват правило за защитна стена, което отхвърля IPv4 TCP пакети с IP опции, което Red Hat казва, че намалява излагането и не предотвратява напълно експлоатацията.

Преведен препис

Преведено от оригиналния английски разказ. Наличните аудио и субтитри се контролират от YouTube.

Студено начало: как клаузата WHERE казва "четири е равно на пет"?

0:00 База данни, която рекламира пълен ACID, трябва да запазва това, което пишете. Jepsen тества една и откри деветдесет и шест проблема, включително клауза where, която каза "четири е равно на пет" и все пак върна редове. В това видео, четири истории. Какво откри Jepsen в база данни, която твърди, че е пълен ACID? Какво имаше вътре във флашка с пръстов отпечатък, продавана като криптирана? Какво направи Андрей Карпати за една сутрин? И какво да пачвате за мрежов бъг в Linux?

0:26 Една от тези грешки идва с хронометър. Ще ви я прочета в края. Неделя е, първи ноември, и това е The Daily Diff. Jepsen е тестова лаборатория на Кайл Кингсбъри. Тя стартира база данни през реални натоварвания и откази и проверява дали гаранциите на уебсайта са валидни. Представете си инспектор, който всъщност отваря хладилника.

История първа: какво откри Jepsen в ParticleDB?

0:44 История първа. В събота Jepsen публикува своя доклад за ParticleDB, база данни на Rust от Orkes, предназначена за AI агенти. Orkes плати за работата. На началната страница пишеше Full ACID, сто петдесет и девет хиляди транзакции в секунда. Jepsen тества ParticleDB от първата ѝ версия 1.1 до късен кандидат за пускане. Сайтът я нарече "формално доказана", с TLA плюс доказателство. Jepsen казва, че по време на работата не е налична TLA плюс спецификация.

1:10 Под реда Full ACID, същата страница казваше изолация на моментна снимка, която не е напълно изолирана. Грешките не бяха фини. Повечето се нуждаеха от един сървър, един клиент и без инжектирани грешки. Клауза where, която казваше "четири е равно на пет", връщаше редове. Клауза where, която казваше "вярно", не съвпадаше с нищо. Актуализациите оставяха два реда с един и същ първичен ключ. Последната версия, която Jepsen тества, кандидат за пускане двадесет и две,

1:36 беше много по-безопасна. Въпреки това, режимът на транзакция по подразбиране губеше записани данни по време на нормална работа. Най-строгият режим все още позволяваше загубени актуализации след спиране на процес. Orkes казва, че следващата ѝ версия коригира всичко това. Jepsen не го е тествал. Така че в тази последна версия база данни, която обещаваше пълен ACID, можеше да загуби запис, който е вече е извършила. Скоростта, предполагам, беше отлична.

2:00 Съветът на Jepsen е ясен. Спрете по-нататъшното внедряване на ParticleDB и мигрирайте към друга база данни възможно най-скоро. възможно. Orkes обвинява преработката на пролетта и казва, че нейните собствени клиенти, на по-стара версия, вероятно не са били засегнати. Документацията за съхранени процедури дори измисли имейл адрес за Кайл Кингсбъри. История втора. Lenovo ThinkPlus FU100 е USB флашка с пръстов отпечатък

История втора: какво имаше вътре в USB флашката с пръстов отпечатък на Lenovo?

2:21 маркетирана като хардуерно криптирана с AES-256. Изследователят по сигурността Сюшенг Ли разглоби една и откри обикновена SD карта, без нищо криптирано на нея. Четецът на пръстови отпечатъци решаваше едно нещо: дали флашката да се свърже с компютъра. Файловете на картата никога не зависеха от това. Ли съобщи за недостатъка на Lenovo през август 2025 г. Първата корекция беше слой епоксидна смола върху SD картата. Така че файловете никога не са били криптирани.

2:47 Чакай, това е просто SD карта? Винаги е било така. Lenovo оцени собственото си предупреждение като високо. По-късната корекция, за FU100 и три свързани устройства, означава обаждане на сервизна линия в Китай, след което или връщане на устройството, или получаване на надграждане на фърмуера на място. Lenovo съветва първо да изтриете данните от устройството. Миналата седмица Ли насочи Codex на OpenAI, плюс инструмента за обратен инженеринг на своя работодател,

3:09 към софтуер за USB защита на други производители. Този на Netac отне около седем минути, защото имаше вграден фиксиран ключ и записваше паролата в диагностичните логове. Едно устройство имаше два скрити акаунта, които Ли нарича "задни врати". Ако сигурността на устройството е хардуерът, проверете го сами. Криптирайте файловете със софтуер, който контролирате, преди да достигнат до флашката, и третирайте пръстовия отпечатък като удобство.

История трета: какво направи Карпати за една сутрин?

3:31 История трета, леката. В петък вечерта Андрей Карпати отвори YouTube, видя това, което нарече "стена от помия", и в събота сутринта каза на своя кодиращ агент да създаде заместител от това, което Hacker News препоръчва. Агентът изтегли коментарите от Hacker News, филтрира спама, и запази около четиридесет хиляди, които препоръчват видеоклип в YouTube. Това остави шест хиляди четиристотин петдесет и четири видеоклипа, от две хиляди и седма година до сега, по сто и петдесет теми.

3:58 Сайтът е hackertube dot org. Той показва кадър от средата вместо миниатюрата, избрана от качващия, което леко дразни. Карпати казва, че цялото изграждане отнело около два часа. Неговите единствени ръчни стъпки бяха ключ за Google API, сървър и домейн. На дванадесети октомври ви казах, че Карпати смята, че достъпът и задачите създават пропуск в начина, по който хората разбират тези инструменти. Два часа работа са прилична отправна точка.

4:21 История четвърта, тази, по която трябва да се действа.

История четвърта: какво да пачвате за CVE-2026-98432?

4:23 CVE две хиляди двадесет и шест, деветдесет и осем четиристотин тридесет и две е use-after-free в IPv4 TCP ръкостискането на ядрото на Linux, оценено с девет цяло осем от десет. Отдалечен партньор без вход може да го достигне. Ерик Думазе написа поправката на първи октомври. Поправката достигна стабилни ядра на единадесети и петнадесети октомври, и бъгът датира от Linux четири точка четири. Red Hat повиши оценката си от важна на критична на тридесети октомври. В събота вечерта, Ubuntu и Red Hat Enterprise Linux все още не бяха посочили фиксирано

4:52 ядро. Anthropic казва, че Claude е написал работещ експлойт за сървъри с многопътен TCP слушател, и Go програмите ги отварят по подразбиране от Go едно точка двадесет четири. Екипът на Go предупреждава, че системите без този слушател може да са уязвими за подобни атаки, и казва, че най-добрата поправка е пачнато ядро. Ако вашата дистрибуция все още няма фиксирано ядро, Red Hat и AlmaLinux публикуват правило за защитна стена, което отхвърля IPv4 TCP пакети, съдържащи IP опции. Red Hat казва, че това намалява излагането и не може напълно да го предотврати.

5:23 След това чакате. Какво да правите днес. Инсталирайте фиксираното ядро на вашата дистрибуция и рестартирайте, както на хостове на контейнери, така и на Kubernetes възли, защото контейнерите споделят ядрото на хоста. Debian, Suse и Amazon Linux вече имат поправки. Ако все още не можете да пачвате, започнете с хостове, които изпълняват многопътни TCP слушатели. Сега хронометърът, който обещах.

Обратно към хронометъра: колко време отне експлойтът?

5:44 В собственото доказателство за концепция на Anthropic, отнема четиридесет и осем минути да се изтече указател на ядрото, след това още пет минути да се изпълни шел команда. Anthropic не е публикувал експлойта. Ако предпочитате да прочетете това, вместо да ме слушате да го казвам, diff-ът пристига във вашата пощенска кутия всяка сутрин, безплатно на the daily diff dot dev, линк по-долу.

Присъда: REVERT

6:02 И така, днешната присъда е REVERT. Бих върнал ParticleDB, защото съветът на Jepsen е да се спре внедряването, и бих пачнал това ядро, защото идва с хронометър. И това е diff-ът за днес. Аз съм Нико от Axrisi. Обединявайте отговорно.

Източници

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas