# পার্টিকেলডিবি-এর জেপসেন রিপোর্ট, লেনোভো-এর ফিঙ্গারপ্রিন্ট ইউএসবি স্টিক, কারপাথির হ্যাকারটিউব এবং লিনাক্স টিসিপি বাগ সিভিই-২০২৬-৯৮৪৩২: চারটি ডেভেলপার গল্প একটি ডেইলি ডিফে

Published: 2026-11-02

চারটি ডেভেলপার গল্প, প্রতিটি তার উৎস সহ। পার্টিকেলডিবি ডেটাবেসের জেপসেনের বিশ্লেষণে ৯৬টি সমস্যা পাওয়া গেছে, যার মধ্যে এটি পরীক্ষা করা শেষ সংস্করণের ডিফল্ট ট্রানজেকশন মোডে প্রতিশ্রুতিবদ্ধ রাইট হারানোও রয়েছে এবং এটি স্থাপনা বন্ধ করার সুপারিশ করে; পরীক্ষাটি অর্কেস দ্বারা অর্থায়ন করা হয়েছিল, যা বলে যে তাদের পরবর্তী সংস্করণ সবকিছু ঠিক করে দেবে। টম'স হার্ডওয়্যার-এর রিপোর্ট অনুযায়ী, গবেষক জুশেং লি বলেন, AES-256 এনক্রিপ্টেড হিসাবে বিক্রি হওয়া একটি লেনোভো থিঙ্কপ্লাস FU100 ফিঙ্গারপ্রিন্ট ইউএসবি স্টিকে একটি সাধারণ এসডি কার্ড ছিল যেখানে কিছুই এনক্রিপ্টেড ছিল না। আন্দ্রেজ কারপাথি প্রায় দুই ঘণ্টার মধ্যে হ্যাকারটিউব তৈরি করেছেন, যা হ্যাকার নিউজ মন্তব্যে সুপারিশকৃত ৬,৪৫৪টি ইউটিউব ভিডিওর একটি সাইট। এবং লিনাক্স কার্নেল সিভিই-২০২৬-৯৮৪৩২, একটি IPv4 টিসিপি ইউজ-আফটার-ফ্রি, ৯.৮ স্কোর করা হয়েছে, যার জন্য একটি প্যাচ করা কার্নেল এবং রিবুট প্রয়োজন। রায় হলো REVERT।

Canonical: https://thedailydiff.dev/bn/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## এই ভিডিওতে যা আছে

- কাইল কিংসবারির চালানো ডেটাবেস টেস্টিং ল্যাব জেপসেন, ২৬ অক্টোবর, ২০২৬ তারিখে পার্টিকেলডিবি-এর বিশ্লেষণ প্রকাশ করেছে। পার্টিকেলডিবি হলো অর্কেস-এর একটি রাস্ট ডেটাবেস যা এআই এজেন্টের জন্য তৈরি; অর্কেস এই কাজটি অর্থায়ন করেছে। জেপসেন ১.১.৪ থেকে ১.১.১৮.১১.আরসি-২২ সংস্করণগুলো একটি একক নোডে পরীক্ষা করেছে এবং ৯৬টি সমস্যা উপস্থাপন করেছে, যার বেশিরভাগের জন্য একটি সার্ভার, একটি ক্লায়েন্ট এবং কোনো ত্রুটি ছাড়াই প্রয়োজন ছিল। রিপোর্টে উদাহরণ: একটি WHERE 4 = 5 ক্লজ প্রাথমিক কী 5 সহ সারি ফিরিয়ে দিয়েছে, WHERE TRUE কিছুই মেলাতে পারেনি এবং একটি UPDATE একই প্রাথমিক কী সহ একাধিক সারি রেখে যেতে পারে।
- পার্টিকেলডিবি হোম পেজে 'Full ACID. 159K TPS.' এবং একটি TLA+ প্রমাণ বিজ্ঞাপন করা হয়েছিল, কিন্তু জেপসেন বলেছে যে সহযোগিতার সময় কোনো TLA+ স্পেসিফিকেশন উপলব্ধ ছিল না, এবং 'Full ACID' এর অধীনে লেখা ছিল স্ন্যাপশট আইসোলেশন। ১.১.১৮.১১.আরসি-২২ সংস্করণে, জেপসেনের পরীক্ষা করা শেষ সংস্করণ, ডিফল্ট occ ট্রানজেকশন মোড স্বাভাবিক ক্রিয়াকলাপের সময় প্রতিশ্রুতিবদ্ধ রাইট হারিয়েছে, এবং কঠোরতম সিরিয়ালাইজেবল মোড প্রক্রিয়া হত্যার পরে হারিয়ে যাওয়া আপডেটগুলি অনুমতি দিয়েছে। অর্কেস বলেছে যে ১.১.১৯-আরসি.১৩ সংস্করণ সমস্ত অবশিষ্ট সমস্যা সমাধান করে; জেপসেন এটি মূল্যায়ন করেনি এবং ব্যবহারকারীদের পার্টিকেলডিবি-এর আরও স্থাপনা বন্ধ করতে এবং অন্যান্য ডেটাবেসে স্থানান্তরিত করার সুপারিশ করে।
- নিরাপত্তা গবেষক জুশেং লি দেখেছেন যে লেনোভো থিঙ্কপ্লাস FU100 ফিঙ্গারপ্রিন্ট ইউএসবি স্টিক, যা AES-256 দিয়ে হার্ডওয়্যার এনক্রিপ্টেড হিসাবে বাজারজাত করা হয়েছিল, তাতে একটি সাধারণ এসডি কার্ড ছিল যার ডেটা এনক্রিপ্টেড ছিল না; ফিঙ্গারপ্রিন্ট রিডার শুধুমাত্র ইউএসবি সংযোগ চালু করত। তিনি ২ আগস্ট, ২০২৫ তারিখে এটি রিপোর্ট করেন, এবং লেনোভোর প্রথম সমাধান ছিল এসডি কার্ডের উপর ইপোক্সির একটি স্তর। লেনোভো তাদের পরামর্শকে উচ্চ রেটিং দিয়েছে, এবং FU100 এবং সম্পর্কিত ড্রাইভগুলির জন্য একটি পরবর্তী ফিক্সের জন্য চীনে একটি পরিষেবা লাইনে কল করতে হবে, তারপর একটি প্রতিস্থাপন বা অন-সাইট ফার্মওয়্যার আপগ্রেড করতে হবে, টম'স হার্ডওয়্যারের মতে।
- টম'স হার্ডওয়্যারের রিপোর্ট করা একটি ফলো-আপে, লি তার নিয়োগকর্তার রিভার্স ইঞ্জিনিয়ারিং টুল দিয়ে ওপেনএআই-এর কোডেক ব্যবহার করে অন্যান্য নির্মাতাদের ইউএসবি সুরক্ষা সফ্টওয়্যারের বিরুদ্ধে পরীক্ষা করেন; নেটাকে প্রায় সাত মিনিট লেগেছিল কারণ এতে একটি নির্দিষ্ট কী তৈরি করা ছিল এবং পাসওয়ার্ডটি ডায়াগনস্টিক লগে লেখা হয়েছিল, এবং অন্য একটি বিক্রেতার ড্রাইভে দুটি লুকানো অ্যাকাউন্ট ছিল যাকে লি ব্যাকডোর বলেন। একটি ইউএসবি স্টিকে ডেটার জন্য, ডিভাইসটিতে পৌঁছানোর আগে আপনার নিয়ন্ত্রিত সফ্টওয়্যার দিয়ে ফাইলগুলি এনক্রিপ্ট করুন।
- ৩১ অক্টোবর, ২০২৬ তারিখে আন্দ্রেজ কারপাথি হ্যাকারটিউব বর্ণনা করেছেন, এটি hackertube.org-এ একটি ইউটিউব-স্টাইলের সাইট যা তার কোডিং এজেন্টের সাহায্যে প্রায় দুই ঘণ্টার মধ্যে তৈরি করা হয়েছে। এজেন্ট হ্যাকার নিউজ মন্তব্যগুলি ডাউনলোড করেছে, স্প্যাম ফিল্টার করেছে এবং প্রায় ৪০,০০০ মন্তব্য রেখেছে যা একটি ইউটিউব ভিডিও সুপারিশ করে, ফলে ২০০৭ থেকে ২০২৬ সাল পর্যন্ত ১৫০টি বিষয়ের ৬,৪৫৪টি ভিডিও পাওয়া গেছে। সাইটটি আপলোড করা থাম্বনেইলের পরিবর্তে ৫০ শতাংশ চিহ্নিত স্থানে ফ্রেম দেখায়। কারপাথি তার ম্যানুয়াল পদক্ষেপগুলি গুগল ক্লাউড এপিআই কী, একটি সার্ভার এবং একটি ডোমেইন হিসাবে তালিকাভুক্ত করেছেন।
- CVE-2026-98432 হলো লিনাক্স কার্নেলের IPv4 TCP হ্যান্ডশেকে একটি ইউজ-আফটার-ফ্রি, CVSS ৯.৮ স্কোর করা হয়েছে, যা কোনো লগইন ছাড়াই একটি দূরবর্তী পিয়ার দ্বারা অ্যাক্সেসযোগ্য। এরিক দুমাজেটের ফিক্স ১ অক্টোবর তারিখের একটি কমিটে দুটি সাধারণ kfree কলকে kfree\_rcu দিয়ে প্রতিস্থাপন করেছে; ফিক্স সহ স্থিতিশীল কার্নেলগুলি ১১ এবং ১৫ অক্টোবর প্রকাশিত হয়েছে, এবং এই বাগটি লিনাক্স ৪.৪ থেকে শুরু হয়েছিল। রেড হ্যাট ৩০ অক্টোবর এর রেটিং ইম্পর্টেন্ট থেকে ক্রিটিকাল-এ উন্নীত করেছে। শনিবার সন্ধ্যায়, ৩১ অক্টোবর, উবুন্টু এবং রেড হ্যাট এন্টারপ্রাইজ লিনাক্স কোনো ফিক্সড কার্নেল তালিকাভুক্ত করেনি। আপনার ডিস্ট্রিবিউশনের ফিক্সড কার্নেল ইনস্টল করুন এবং রিবুট করুন, কন্টেইনার হোস্ট সহ, কারণ কন্টেইনারগুলি হোস্ট কার্নেল শেয়ার করে।
- অ্যান্থ্রপিক বলেছে যে ক্লড মাল্টিপাথ টিসিপি লিসেনার সহ লিনাক্স সার্ভারের জন্য একটি কার্যকরী এক্সপ্লয়েট লিখেছে, এবং তাদের প্রুফ অফ কনসেপ্টে একটি কার্নেল পয়েন্টার ফাঁস করতে ৪৮ মিনিট এবং একটি শেল কমান্ড চালাতে আরও পাঁচ মিনিট সময় লাগে; এক্সপ্লয়েটটি প্রকাশিত হয়নি। গো সিকিউরিটি টিম উল্লেখ করেছে যে গো ১.২৪ থেকে গো প্রোগ্রামগুলি ডিফল্টভাবে মাল্টিপাথ টিসিপি লিসেনার সক্ষম করে এবং সতর্ক করেছে যে এই লিসেনার ছাড়া সিস্টেমগুলি একই ধরনের আক্রমণের জন্য ঝুঁকিপূর্ণ হতে পারে। রেড হ্যাট এবং অ্যালমা লিনাক্স একটি ফায়ারওয়াল নিয়ম প্রকাশ করেছে যা আইপি অপশন সহ IPv4 টিসিপি প্যাকেটগুলি বাদ দেয়, যা রেড হ্যাট বলেছে যে এক্সপোজার হ্রাস করে এবং সম্পূর্ণরূপে শোষণ প্রতিরোধ করে না।

## প্রশ্ন ও উত্তর

### জেপসেন পার্টিকেলডিবি ডেটাবেসে কী খুঁজে পেয়েছে এবং এটি কী সুপারিশ করে?

জেপসেনের পার্টিকেলডিবি বিশ্লেষণ, যা ২৬ অক্টোবর, ২০২৬ তারিখে প্রকাশিত হয়েছে এবং অর্কেস দ্বারা অর্থায়ন করা হয়েছে, ১.১.৪ থেকে ১.১.১৮.১১.আরসি-২২ সংস্করণগুলিতে ৯৬টি সমস্যা উপস্থাপন করে, যার মধ্যে WHERE 4 = 5 সারি ফিরিয়ে দেওয়াও রয়েছে। পরীক্ষা করা শেষ সংস্করণে, ডিফল্ট ট্রানজেকশন মোড স্বাভাবিক ক্রিয়াকলাপের সময় প্রতিশ্রুতিবদ্ধ রাইটগুলি হারিয়েছে। জেপসেন ব্যবহারকারীদের পার্টিকেলডিবি-এর আরও স্থাপনা বন্ধ করতে এবং অন্যান্য ডেটাবেসে স্থানান্তরিত করার সুপারিশ করে।

### লেনোভোর থিঙ্কপ্লাস FU100 ফিঙ্গারপ্রিন্ট ইউএসবি স্টিক কি সত্যিই AES-256 এনক্রিপ্টেড ছিল?

গবেষক জুশেং লি-এর মতে, টম'স হার্ডওয়্যার এবং হ্যাকিংপ্যাশন-এর রিপোর্ট অনুযায়ী, FU100 AES-256 হার্ডওয়্যার এনক্রিপ্টেড হিসাবে বাজারজাত করা হয়েছিল কিন্তু এতে একটি সাধারণ এসডি কার্ড ছিল যেখানে কিছুই এনক্রিপ্টেড ছিল না। ফিঙ্গারপ্রিন্ট রিডার শুধুমাত্র ইউএসবি সংযোগ সক্রিয় করত। লেনোভোর প্রথম সমাধান ছিল কার্ডের উপর ইপক্সি, এবং একটি পরবর্তী ফিক্সের জন্য চীনে একটি পরিষেবা লাইনে কল করতে হবে একটি প্রতিস্থাপন বা অন-সাইট ফার্মওয়্যার আপগ্রেডের জন্য।

### হ্যাকারেটিউব কী এবং আন্দ্রেজ কারপাথি এটি কীভাবে তৈরি করেছিলেন?

hackertube.org-এর হ্যাকারেটিউব হলো ২০০৭ থেকে ২০২৬ সাল পর্যন্ত হ্যাকার নিউজ মন্তব্যে সুপারিশকৃত ৬,৪৫৪টি ভিডিওর একটি ইউটিউব-স্টাইলের সাইট, যা ১৫০টি বিষয় জুড়ে রয়েছে। কারপাথির পোস্ট অনুসারে তার কোডিং এজেন্ট মন্তব্যগুলি ডাউনলোড করেছে, স্প্যাম ফিল্টার করেছে এবং প্রায় ৪০,০০০ ভিডিও সুপারিশ করেছে, এবং এটি তৈরি করতে প্রায় দুই ঘণ্টা সময় লাগে। তার ম্যানুয়াল ধাপগুলি ছিল একটি গুগল ক্লাউড এপিআই কী, একটি সার্ভার এবং একটি ডোমেইন।

### আমি কীভাবে লিনাক্স কার্নেল CVE-2026-98432 ঠিক করব এবং কোন ডিস্ট্রিবিউশনগুলিতে প্যাচ করা কার্নেল আছে?

আপনার ডিস্ট্রিবিউশনের ফিক্সড কার্নেল ইনস্টল করুন এবং রিবুট করুন, কন্টেইনার হোস্ট এবং কুবারনেটিস নোডগুলি সহ, কারণ কন্টেইনারগুলি হোস্ট কার্নেল শেয়ার করে। ত্রুটিটি একটি IPv4 TCP ইউজ-আফটার-ফ্রি, CVSS ৯.৮ স্কোর করা হয়েছে, যা ১১ এবং ১৫ই অক্টোবর স্থিতিশীল কার্নেলে আপস্ট্রিম ফিক্স করা হয়েছে। ৩১শে অক্টোবর অ্যাটলাস অনুসারে, ডেবিয়ান, সুসে এবং অ্যামাজন লিনাক্সে ফিক্স ছিল, যখন উবুন্টু এবং রেড হ্যাট এন্টারপ্রাইজ লিনাক্সে ছিল না; রেড হ্যাট একটি ফায়ারওয়াল প্রশমন প্রকাশ করেছে যা এক্সপোজার হ্রাস করে।

### এই চারটি গল্পের উপর The Daily Diff এর রায় কী ছিল?

The Daily Diff এর রায় ছিল REVERT। পার্টিকেলডিবি সম্পর্কে জেপসেনের পরামর্শ হলো আরও স্থাপনা বন্ধ করা এবং স্থানান্তরিত করা, এবং লিনাক্স CVE-2026-98432 কার্নেল বাগটির জন্য একটি প্যাচ করা কার্নেল এবং রিবুট প্রয়োজন, যেখানে অ্যান্থ্রপিকের নিজস্ব প্রুফ অফ কনসেপ্টে একটি কার্নেল পয়েন্টার ফাঁস করতে ৪৮ মিনিট এবং একটি শেল কমান্ড চালাতে আরও পাঁচ মিনিট সময় লাগে।

## অধ্যায়

- 0:00 কোল্ড ওপেন: একটি হোয়্যার ক্লজ কীভাবে চার সমান পাঁচ বলে?
- 0:44 প্রথম গল্প: জেপসেন পার্টিকেলডিবি-তে কী খুঁজে পেয়েছিল?
- 2:17 দ্বিতীয় গল্প: লেনোভো ফিঙ্গারপ্রিন্ট ইউএসবি স্টিকের ভিতরে কী ছিল?
- 3:31 তৃতীয় গল্প: কারপাথি এক সকালে কী তৈরি করেছিলেন?
- 4:22 চতুর্থ গল্প: CVE-2026-98432 এর জন্য কী প্যাচ করবেন?
- 5:43 স্টপওয়াচে ফিরে: এক্সপ্লয়েটটি কতক্ষণ লেগেছিল?
- 6:02 রায়: REVERT

## অনুবাদিত প্রতিলিপি

মূল ইংরেজি বর্ণনা থেকে অনূদিত। উপলব্ধ অডিও এবং ক্যাপশন YouTube দ্বারা নিয়ন্ত্রিত।

### কোল্ড ওপেন: একটি হোয়্যার ক্লজ কীভাবে চার সমান পাঁচ বলে?

0:00 একটি ডেটাবেস যা Full ACID বিজ্ঞাপন করে তা আপনার লেখা সবকিছু সংরক্ষণ করার কথা। জেপসেন একটি পরীক্ষা করে ছিয়ানব্বইটি সমস্যা খুঁজে পেয়েছে, যার মধ্যে একটি হোয়্যার ক্লজ ছিল যা বলেছিল চার সমান পাঁচ এবং তবুও সারি ফিরিয়ে দিয়েছে। এই ভিডিওতে, চারটি গল্প। জেপসেন একটি ডেটাবেসে কী খুঁজে পেয়েছিল যা Full ACID দাবি করেছিল? এনক্রিপ্টেড হিসাবে বিক্রি হওয়া একটি ফিঙ্গারপ্রিন্ট ইউএসবি স্টিকের ভিতরে কী ছিল? আন্দ্রেজ কারপাথি এক সকালে কী তৈরি করেছিলেন? এবং লিনাক্স নেটওয়ার্কিং বাগ এর জন্য কী প্যাচ করবেন?

0:26 সেই বাগগুলির একটি স্টপওয়াচ সহ আসে। আমি শেষে এটি আপনাকে পড়ে শোনাব। আজ রবিবার, ১লা নভেম্বর, এবং এটি The Daily Diff। জেপসেন হলো কাইল কিংসবারির টেস্টিং ল্যাব। এটি একটি ডেটাবেসকে বাস্তব ওয়ার্কলোড এবং ব্যর্থতার মধ্য দিয়ে চালায় এবং পরীক্ষা করে যে ওয়েবসাইটে দেওয়া গ্যারান্টিগুলি টিকে থাকে কিনা। একজন পরিদর্শকের কথা ভাবুন যিনি আসলে ফ্রিজ খোলেন।

### প্রথম গল্প: জেপসেন পার্টিকেলডিবি-তে কী খুঁজে পেয়েছিল?

0:44 প্রথম গল্প। শনিবার জেপসেন পার্টিকেলডিবি নিয়ে তার প্রতিবেদন প্রকাশ করেছে, অর্কেস থেকে একটি রাস্ট ডেটাবেস যা এআই এজেন্টের জন্য তৈরি। অর্কেস এই কাজের জন্য অর্থ প্রদান করেছে। হোম পেজে লেখা ছিল Full ACID, প্রতি সেকেন্ডে এক লক্ষ ঊনসত্তর হাজার ট্রানজেকশন। জেপসেন পার্টিকেলডিবি পরীক্ষা করেছে এর প্রথম ১.১ বিল্ড থেকে একটি শেষ রিলিজ ক্যান্ডিডেট পর্যন্ত। সাইটটি এটিকে আনুষ্ঠানিকভাবে প্রমাণিত বলেছিল, একটি TLA প্লাস প্রমাণ সহ। জেপসেন বলেছে যে কাজের সময় কোনো TLA প্লাস স্পেসিফিকেশন উপলব্ধ ছিল না।

1:10 Full ACID লাইনের নিচে, একই পৃষ্ঠায় স্ন্যাপশট আইসোলেশন লেখা ছিল, যা সম্পূর্ণ বিচ্ছিন্ন নয়। বাগগুলি সূক্ষ্ম ছিল না। বেশিরভাগের জন্য একটি সার্ভার, একটি ক্লায়েন্ট এবং কোনো ব্যর্থতা ইনজেকশন ছাড়াই প্রয়োজন ছিল। একটি হোয়্যার ক্লজ যা বলেছিল চার সমান পাঁচ, তা সারি ফিরিয়ে দিয়েছে। একটি হোয়্যার ক্লজ যা বলেছিল সত্য, তা কিছুই মেলাতে পারেনি। আপডেটগুলি একই প্রাথমিক কী সহ দুটি সারি রেখে গেছে। জেপসেনের পরীক্ষা করা শেষ রিলিজ, রিলিজ ক্যান্ডিডেট বাইশ,

1:36 অনেক বেশি নিরাপদ ছিল। তবুও, ডিফল্ট ট্রানজেকশন মোড স্বাভাবিক ক্রিয়াকলাপের সময় প্রতিশ্রুতিবদ্ধ রাইট হারিয়েছে। কঠোরতম মোড প্রক্রিয়া হত্যার পরেও হারিয়ে যাওয়া আপডেটগুলি অনুমতি দিয়েছে। অর্কেস বলেছে যে তাদের পরবর্তী সংস্করণ এর সব ঠিক করে দেবে। জেপসেন এটি পরীক্ষা করেনি। সুতরাং সেই শেষ রিলিজটিতে একটি ডেটাবেস যা Full ACID প্রতিশ্রুতি দিয়েছিল তা একটি রাইট হারাতে পারে যা এটি ইতিমধ্যে প্রতিশ্রুতিবদ্ধ ছিল। গতি, আমি ধরে নিচ্ছি, চমৎকার ছিল।

2:00 জেপসেনের পরামর্শ পরিষ্কার। পার্টিকেলডিবি-এর আরও স্থাপনা বন্ধ করুন এবং যত তাড়াতাড়ি সম্ভব অন্য ডেটাবেসে স্থানান্তরিত করুন। অর্কেস একটি স্প্রিং রিফ্যাক্টরের জন্য দোষারোপ করেছে এবং বলেছে যে তাদের নিজস্ব গ্রাহকরা, একটি পুরোনো সংস্করণে, সম্ভবত প্রভাবিত হননি। স্টোরেড প্রসিডিউর ডকুমেন্টেশন কাইল কিংসবারির জন্য একটি ইমেল ঠিকানা পর্যন্ত তৈরি করেছিল। দ্বিতীয় গল্প। লেনোভো থিঙ্কপ্লাস FU100 হল একটি ফিঙ্গারপ্রিন্ট ইউএসবি স্টিক

### দ্বিতীয় গল্প: লেনোভো ফিঙ্গারপ্রিন্ট ইউএসবি স্টিকের ভিতরে কী ছিল?

2:21 যা AES-256 দিয়ে হার্ডওয়্যার এনক্রিপ্টেড হিসাবে বাজারজাত করা হয়েছিল। নিরাপত্তা গবেষক জুশেং লি একটি খুলে দেখেছেন একটি সাধারণ এসডি কার্ড, যার উপর কিছুই এনক্রিপ্টেড ছিল না। ফিঙ্গারপ্রিন্ট রিডার একটি জিনিস সিদ্ধান্ত নিয়েছে, স্টিকটি কম্পিউটারের সাথে সংযুক্ত হবে কিনা। কার্ডের ফাইলগুলি এর উপর কখনোই নির্ভরশীল ছিল না। লি পঁচিশ সালের আগস্টে লেনোভোকে এই ত্রুটির কথা জানিয়েছিলেন। প্রথম ফিক্স ছিল এসডি কার্ডের উপর ইপক্সির একটি স্তর। সুতরাং ফাইলগুলি কখনোই এনক্রিপ্টেড ছিল না।

2:47 অপেক্ষা করুন, এটি কি শুধু একটি এসডি কার্ড? সব সময়ই তাই ছিল। লেনোভো তাদের নিজস্ব পরামর্শকে উচ্চ রেটিং দিয়েছে। পরবর্তী ফিক্স, FU100 এবং তিনটি সম্পর্কিত ড্রাইভের জন্য, এর অর্থ হলো চীনের একটি পরিষেবা লাইনে কল করা, তারপর হয় ড্রাইভটি ফেরত পাঠানো বা একটি অন-সাইট ফার্মওয়্যার আপগ্রেড করা। লেনোভো প্রথমে ড্রাইভটি মুছে ফেলার পরামর্শ দেয়। গত সপ্তাহে লি ওপেনএআই-এর কোডেক, তার নিয়োগকর্তার রিভার্স ইঞ্জিনিয়ারিং টুল সহ,

3:09 অন্যান্য নির্মাতাদের ইউএসবি সুরক্ষা সফ্টওয়্যারের দিকে নির্দেশ করেছেন। নেটাকের প্রায় সাত মিনিট লেগেছিল, কারণ এতে একটি নির্দিষ্ট কী তৈরি করা ছিল এবং পাসওয়ার্ডটি ডায়াগনস্টিক লগে লেখা হয়েছিল। একটি ড্রাইভে দুটি লুকানো অ্যাকাউন্ট ছিল যাকে লি ব্যাকডোর বলেছেন। যদি একটি ড্রাইভের নিরাপত্তা হার্ডওয়্যার হয়, তবে নিজে এটি পরীক্ষা করুন। স্টিকটিতে পৌঁছানোর আগে আপনার নিয়ন্ত্রিত সফ্টওয়্যার দিয়ে ফাইলগুলি এনক্রিপ্ট করুন, এবং ফিঙ্গারপ্রিন্টকে একটি সুবিধা হিসাবে বিবেচনা করুন।

### তৃতীয় গল্প: কারপাথি এক সকালে কী তৈরি করেছিলেন?

3:31 তৃতীয় গল্প, হালকাটি। শুক্রবার রাতে আন্দ্রেজ কারপাথি ইউটিউব খুলে তিনি যাকে 'এনসিফিড ওয়াল অফ স্লপ' বলেছেন তা দেখলেন, এবং শনিবার সকালে তার কোডিং এজেন্টকে হ্যাকার নিউজ যা সুপারিশ করে তা থেকে একটি প্রতিস্থাপন তৈরি করতে বললেন। এজেন্ট হ্যাকার নিউজের মন্তব্যগুলি ডাউনলোড করেছে, স্প্যাম ফিল্টার করেছে, এবং প্রায় চল্লিশ হাজার মন্তব্য রেখেছে যা একটি ইউটিউব ভিডিও সুপারিশ করে। তাতে ছয় হাজার চারশো চৌষট্টিটি ভিডিও অবশিষ্ট ছিল, দুহাজার সাত সাল থেকে এখন পর্যন্ত, একশো পঞ্চাশটি বিষয়ে।

3:58 সাইটটি হ্যাকারটিউব ডট অর্গ। এটি আপলোডারের বেছে নেওয়া থাম্বনেইলের পরিবর্তে অর্ধেক চিহ্নের ফ্রেম দেখায়, যা কিছুটা বেদনাদায়ক। কারপাথি বলেছেন যে পুরো কাজটি তৈরি করতে প্রায় দুই ঘণ্টা লেগেছে। তার একমাত্র ম্যানুয়াল পদক্ষেপ ছিল একটি গুগল এপিআই কী, একটি সার্ভার এবং একটি ডোমেইন। অক্টোবর মাসের বারো তারিখে আমি আপনাকে বলেছিলাম যে কারপাথি মনে করেন অ্যাক্সেস এবং কাজগুলি এই টুলগুলি কীভাবে মানুষ বোঝে তাতে একটি ফাঁক তৈরি করে। দুই ঘণ্টার কাজ একটি ভালো ডেটা পয়েন্ট।

4:21 চতুর্থ গল্প, যেটিতে কাজ করতে হবে।

### চতুর্থ গল্প: CVE-2026-98432 এর জন্য কী প্যাচ করবেন?

4:23 CVE ২০২৬, আটানব্বই চারশো বত্রিশ হলো লিনাক্স কার্নেলের আইপিভি ফোর টিসিপি হ্যান্ডশেকে একটি ইউজ-আফটার-ফ্রি, দশের মধ্যে নয় দশমিক আট স্কোর করা হয়েছে। কোনো লগইন ছাড়াই একটি দূরবর্তী পিয়ার এটিতে পৌঁছাতে পারে। এরিক দুমাজেট ১লা অক্টোবর ফিক্সটি লিখেছেন। ফিক্সটি ১১ এবং ১৫ই অক্টোবর স্থিতিশীল কার্নেলে পৌঁছেছে, এবং বাগটি লিনাক্স ৪.৪ থেকে ফিরে এসেছে। রেড হ্যাট ৩০শে অক্টোবর এর রেটিং গুরুত্বপূর্ণ থেকে গুরুতরতে উন্নীত করেছে। শনিবার সন্ধ্যায়, উবুন্টু এবং রেড হ্যাট এন্টারপ্রাইজ লিনাক্স এখনও কোনো ফিক্সড

4:52 কার্নেল তালিকাভুক্ত করেনি। অ্যান্থ্রপিক বলেছে যে ক্লড মাল্টিপাথ টিসিপি লিসেনার সহ সার্ভারগুলির জন্য একটি কার্যকরী এক্সপ্লয়েট লিখেছে, এবং গো প্রোগ্রামগুলি গো ১.২৪ থেকে ডিফল্টভাবে সেগুলিকে খুলেছে। গো টিম সতর্ক করেছে যে সেই লিসেনার ছাড়া সিস্টেমগুলি একই ধরনের আক্রমণের জন্য ঝুঁকিপূর্ণ হতে পারে, এবং বলেছে যে সেরা ফিক্স হলো একটি প্যাচ করা কার্নেল। যদি আপনার ডিস্ট্রিবিউশনে এখনও কোনো ফিক্সড কার্নেল না থাকে, রেড হ্যাট এবং অ্যালমা লিনাক্স একটি ফায়ারওয়াল নিয়ম প্রকাশ করেছে যা আইপি অপশন বহনকারী আইপিভি ফোর টিসিপি প্যাকেটগুলি বাদ দেয়। রেড হ্যাট বলেছে যে এটি এক্সপোজার হ্রাস করে এবং সম্পূর্ণরূপে এটি প্রতিরোধ করতে পারে না।

5:23 এর পরে, আপনি অপেক্ষা করুন। আজ কী করবেন। আপনার ডিস্ট্রিবিউশনের ফিক্সড কার্নেল ইনস্টল করুন এবং রিবুট করুন, কন্টেইনার হোস্ট এবং কুবারনেটিস নোডগুলিতেও, কারণ কন্টেইনারগুলি হোস্ট কার্নেল শেয়ার করে। ডেবিয়ান, সুসে এবং অ্যামাজন লিনাক্সে ইতিমধ্যেই ফিক্স রয়েছে। যদি আপনি এখনও প্যাচ করতে না পারেন, মাল্টিপাথ টিসিপি লিসেনার চালানো হোস্টগুলি দিয়ে শুরু করুন। এখন আমি যে স্টপওয়াচটির প্রতিশ্রুতি দিয়েছিলাম।

### স্টপওয়াচে ফিরে: এক্সপ্লয়েটটি কতক্ষণ লেগেছিল?

5:44 অ্যান্থ্রপিকের নিজস্ব প্রুফ অফ কনসেপ্টে, একটি কার্নেল পয়েন্টার ফাঁস করতে আটচল্লিশ মিনিট সময় লাগে, তারপর একটি শেল কমান্ড চালাতে আরও পাঁচ মিনিট সময় লাগে। অ্যান্থ্রপিক এক্সপ্লয়েটটি প্রকাশ করেনি। আপনি যদি এটি আমার কথা বলার চেয়ে পড়তে পছন্দ করেন, তাহলে ডিফটি আপনার ইনবক্সে প্রতিদিন সকালে বিনামূল্যে আসে, daily diff dot dev এ, লিঙ্ক নিচে।

### রায়: REVERT

6:02 সুতরাং আজকের রায় হলো REVERT। আমি পার্টিকেলডিবি REVERT করব, কারণ জেপসেনের পরামর্শ হলো স্থাপনা বন্ধ করা, এবং আমি সেই কার্নেলটি প্যাচ করব, কারণ এটি একটি স্টপওয়াচ সহ আসে। এবং আজকের জন্য এটাই ডিফ। আমি অ্যাক্সরিসির নিকো। দায়িত্বের সাথে মার্জ করুন।

## উৎস

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas