Jepsenov izvještaj o ParticleDB-u, Lenovo USB stick s otiskom prsta, Karpathyjev HackerTube i Linux TCP greška CVE-2026-98432: četiri developerske priče u jednom Daily Diffu

Šta ovaj video pokriva

• Jepsen, laboratorij za testiranje baza podataka koji vodi Kyle Kingsbury, objavio je svoju analizu ParticleDB-a 31. listopada 2026. ParticleDB je Rust baza podataka tvrtke Orkes namijenjena AI agentima; Orkes je financirao rad. Jepsen je testirao verzije 1.1.4 do 1.1.18.11.rc-22 na jednom čvoru i predstavio 96 problema, od kojih je većini bio potreban jedan poslužitelj, jedan klijent i bez grešaka. Primjeri u izvještaju: klauzula WHERE 4 = 5 vraćala je retke s primarnim ključem 5, WHERE TRUE nije pronašla ništa, a UPDATE je mogla ostaviti više redaka s istim primarnim ključem.
• Početna stranica ParticleDB-a oglašavala je 'Full ACID. 159K TPS.' i TLA+ dokaz, ali Jepsen kaže da TLA+ specifikacija nije bila dostupna tijekom suradnje, a tekst pod 'Full ACID' navodi izolaciju snimka. U 1.1.18.11.rc-22, posljednjoj verziji koju je Jepsen testirao, zadani occ transakcijski način i dalje je gubio potvrđene zapise tijekom normalnog rada, a najstroži serijalizabilni način dopuštao je izgubljeno ažuriranje nakon prekida procesa. Orkes kaže da verzija 1.1.19-rc.13 rješava sve preostale probleme; Jepsen je nije procijenio i preporučuje korisnicima da zaustave daljnju implementaciju ParticleDB-a i pređu na druge baze podataka.
• Sigurnosni istraživač Xusheng Li otkrio je da Lenovo ThinkPlus FU100 USB stick s otiskom prsta, reklamiran kao hardverski šifriran s AES-256, sadrži običnu SD karticu čiji podaci nisu bili šifrirani; čitač otiska prsta je samo uključivao USB vezu. Prijavio je to 2. kolovoza 2025., a Lenovo-ova prva popravka bila je sloj epoksida preko SD kartice. Lenovo je svoju obavijest ocijenio visokom, a kasnija popravka za FU100 i srodne pogone zahtijeva pozivanje servisne linije u Kini, zatim zamjenu ili nadogradnju firmvera na licu mjesta, prema Tom's Hardwareu.
• U nastavku, koji je izvijestio Tom's Hardware, Li je koristio OpenAI-jev Codex sa alatom za obrnuti inženjering svog poslodavca protiv softvera za USB zaštitu drugih proizvođača; Netac-ov je trajao oko sedam minuta jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke logove, a pogon drugog dobavljača imao je dva skrivena računa koje Li naziva stražnjim vratima. Za podatke na USB sticku, šifrirajte datoteke softverom koji kontrolirate prije nego što dođu do uređaja.
• 31. listopada 2026. Andrej Karpathy je opisao HackerTube, stranicu u stilu YouTubea na hackertube.org izgrađenu uz pomoć njegovog agenta za kodiranje za otprilike dva sata. Agent je preuzeo komentare Hacker Newsa, filtrirao neželjenu poštu i zadržao oko 40.000 koji preporučuju YouTube video, što je rezultiralo s 6.454 videozapisa od 2007. do 2026. godine u 150 tema. Stranica prikazuje kadar na 50 posto umjesto učitane sličice. Karpathy navodi svoje ručne korake kao Google Cloud API ključ, poslužitelj i domenu.
• CVE-2026-98432 je use-after-free u rukovanju IPv4 TCP-om u Linux kernelu, ocijenjen CVSS 9.8, dostupan udaljenom peeru bez prijave. Eric Dumazetovo rješenje zamijenilo je dva obična kfree poziva s kfree_rcu u commitu od 1. listopada; stabilni kerneli s rješenjem isporučeni su 11. i 15. listopada, a greška datira još od Linuxa 4.4. Red Hat je 30. listopada podigao svoju ocjenu s važne na kritičnu. Ubuntu i Red Hat Enterprise Linux u subotu navečer, 31. listopada, nisu naveli fiksni kernel. Instalirajte fiksni kernel svoje distribucije i ponovno pokrenite, uključujući hostove kontejnera, jer kontejneri dijele host kernel.
• Anthropic kaže da je Claude napisao ispravan exploit za Linux servere s multipath TCP slušačem, te da je u svom proof of conceptu potrebno 48 minuta da iscuri kernel pointer i još pet minuta za pokretanje shell naredbe; exploit nije objavljen. Go Security Team napominje da Go programi omogućuju multipath TCP slušače po zadanoj postavci od Go 1.24 i upozorava da sustavi bez tog slušača mogu biti ranjivi na slične napade. Red Hat i AlmaLinux objavljuju pravilo vatrozida koje odbacuje IPv4 TCP pakete s IP opcijama, što Red Hat kaže da smanjuje izloženost i ne sprječava u potpunosti eksploataciju.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Hladno otvaranje: kako klauzula WHERE kaže da je četiri jednako pet?

0:00 Baza podataka koja oglašava Full ACID trebala bi zadržati ono što napišete. Jepsen je testirao jednu i pronašao devedeset šest problema, uključujući WHERE klauzulu koja je govorila da je četiri jednako pet i svejedno vraćala retke. U ovom videu, četiri priče. Što je Jepsen pronašao u bazi podataka koja je tvrdila Full ACID? Što je bilo unutar USB sticka s otiskom prsta koji se prodavao kao šifriran? Što je Andrej Karpathy izgradio za jedno jutro? I što zakrpite za Linux mrežnu grešku?

0:26 Jedna od tih grešaka dolazi sa štopericom. Pročitat ću vam je na kraju. Nedjelja je, prvog studenog, i ovo je The Daily Diff. Jepsen je laboratorij za testiranje Kylea Kingsburyja. On provodi bazu podataka kroz stvarne radne zadatke i kvarove i provjerava drže li se obećanja s web stranice. Zamislite inspektora koji stvarno otvara hladnjak.

Prva priča: što je Jepsen pronašao u ParticleDB-u?

0:44 Priča prva. U subotu je Jepsen objavio svoj izvještaj o ParticleDB-u, bazi podataka u Rustu od Orkesa namijenjenoj AI agentima. Orkes je platio rad. Početna stranica je govorila Full ACID, sto pedeset devet tisuća transakcija u sekundi. Jepsen je testirao ParticleDB od prve verzije 1.1 do kasne kandidat verzije. Stranica ga je nazvala formalno dokazanim, s TLA plus dokazom. Jepsen kaže da TLA plus specifikacija nije bila dostupna tijekom rada.

1:10 Pod natpisom Full ACID, ista stranica je navodila izolaciju snimka, što nije u potpunosti izolirano. Greške nisu bile suptilne. Većini je bio potreban jedan poslužitelj, jedan klijent i bez ubrizganih grešaka. Where klauzula koja je govorila da je četiri jednako pet vraćala je retke. Where klauzula koja je govorila true nije pronašla ništa. Ažuriranja su ostavila dva retka s istim primarnim ključem. Posljednje izdanje koje je Jepsen testirao, release candidate dvadeset dva,

1:36 bilo je puno sigurnije. Unatoč tome, zadani način transakcije gubio je potvrđene zapise tijekom normalnog rada. Najstroži način i dalje je dopuštao izgubljena ažuriranja nakon prekida procesa. Orkes kaže da njihovo sljedeće izdanje sve ovo popravlja. Jepsen ga nije testirao. Dakle, u tom posljednjem izdanju baza podataka koja je obećavala Full ACID mogla je izgubiti zapis koji je već bila potvrdila. Brzina je, pretpostavljam, bila izvrsna.

2:00 Jepsenov savjet je jasan. Zaustavite daljnju implementaciju ParticleDB-a i migrirajte na drugu bazu podataka što je prije moguće. Orkes krivi refaktor u proljeće i kaže da njegovi vlastiti klijenti, na starijoj verziji, vjerojatno nisu bili pogođeni. Dokumentacija pohranjenih procedura čak je izmislila adresu e-pošte za Kylea Kingsburyja. Priča druga. Lenovo ThinkPlus FU sto je USB stick s otiskom prsta

Druga priča: što je bilo unutar Lenovo USB sticka s otiskom prsta?

2:21 koji se prodaje kao hardverski šifriran s AES dvije pedeset šest. Sigurnosni istraživač Xusheng Li rastavio je jedan i pronašao običnu SD karticu, s ničim na njoj šifriranim. Čitač otiska prsta odlučivao je jednu stvar, je li se stick spojio na računalo. Datoteke na kartici nikada nisu ovisile o tome. Li je prijavio grešku Lenovu u kolovozu dvadeset dvadeset pete. Prva popravka bila je sloj epoksida preko SD kartice. Dakle, datoteke nikada nisu bile šifrirane.

2:47 Čekajte, to je samo SD kartica? Uvijek je bila. Lenovo je svoju obavijest ocijenio visokom. Kasnija popravka, za FU sto i tri srodna pogona, znači pozivanje servisne linije u Kini, zatim vraćanje pogona ili dobivanje nadogradnje firmvera na licu mjesta. Lenovo savjetuje brisanje pogona prije toga. Prošlog tjedna Li je usmjerio OpenAI-jev Codex, plus alat za obrnuti inženjering svog poslodavca,

3:09 na softver za zaštitu USB-a drugih proizvođača. Netac-ov je trajao oko sedam minuta, jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke logove. Jedan pogon je imao dva skrivena računa koje Li naziva stražnjim vratima. Ako je sigurnost pogona hardver, provjerite sami. Šifrirajte datoteke softverom koji kontrolirate prije nego što dođu do sticka, i tretirajte otisak prsta kao pogodnost.

Treća priča: što je Karpathy izgradio za jedno jutro?

3:31 Priča treća, lagana. U petak navečer Andrej Karpathy je otvorio YouTube, vidio ono što je nazvao „začepljenim zidom sluzi“, i u subotu ujutro rekao svom agentu za kodiranje da izgradi zamjenu iz onoga što Hacker News preporučuje. Agent je preuzeo komentare Hacker Newsa, filtrirao neželjenu poštu, i zadržao oko četrdeset tisuća onih koji preporučuju YouTube video. To je ostavilo šest tisuća četiristo pedeset četiri videa, od dvije tisuće sedme do sada, u stotinu pedeset tema.

3:58 Stranica je hackertube dot org. Prikazuje kadar od pola puta umjesto sličice koju je odabrao uploader, što malo peče. Karpathy kaže da je cijela izrada trajala oko dva sata. Njegovi jedini ručni koraci bili su Google API ključ, poslužitelj i domena. Dvanaestog listopada sam vam rekao da Karpathy misli da pristup i zadaci stvaraju jaz u razumijevanju ovih alata kod ljudi. Dva sata rada je pristojna točka podataka.

4:21 Priča četvrta, ona na koju treba djelovati.

Četvrta priča: što zakrpite za CVE-2026-98432?

4:23 CVE dvadeset dvadeset šest, devedeset osam četiri trideset dva je use-after-free u IPv4 TCP handshakeu Linux kernela, ocijenjen devet zarez osam od deset. Može ga dosegnuti udaljeni peer bez prijave. Eric Dumazet je napisao popravak prvog listopada. Popravak je stigao do stabilnih kernela jedanaestog i petnaestog listopada, a greška datira još od Linuxa četiri zarez četiri. Red Hat je tridesetog listopada podigao svoju ocjenu s važnog na kritično. U subotu navečer, Ubuntu i Red Hat Enterprise Linux još uvijek nisu naveli fiksni

4:52 kernel. Anthropic kaže da je Claude napisao funkcionalni exploit za poslužitelje s multipath TCP slušateljem, a Go programi su ih otvorili prema zadanim postavkama od Go jedan točke dvadeset četiri. Go tim upozorava da sustavi bez tog slušatelja mogu biti ranjivi na slične napade, i kaže da je najbolje rješenje zakrpljeni kernel. Ako vaša distribucija još nema fiksni kernel, Red Hat i AlmaLinux objavljuju pravilo vatrozida koje odbacuje IPv4 TCP pakete koji nose IP opcije. Red Hat kaže da to smanjuje izloženost i ne može je u potpunosti spriječiti.

5:23 Nakon toga, čekate. Što učiniti danas. Instalirajte fiksni kernel svoje distribucije i ponovno pokrenite, na hostovima kontejnera i Kubernetes čvorovima također, jer kontejneri dijele host kernel. Debian, Suse i Amazon Linux već imaju popravke. Ako još ne možete zakrpati, počnite s hostovima koji pokreću multipath TCP slušatelje. Sada štoperica koju sam obećao.

Natrag na štopericu: koliko je trajao exploit?

5:44 U Anthropicovom vlastitom dokazu koncepta, potrebno je četrdeset osam minuta da iscuri kernel pointer, zatim još pet minuta za pokretanje shell naredbe. Anthropic nije objavio exploit. Ako ovo radije čitate nego slušate, 'diff' vam stiže u inbox svako jutro, besplatno na thedaily diff dot dev, link ispod.

Presuda: REVERT

6:02 Dakle, današnja presuda je REVERT. Opozvao bih ParticleDB, jer Jepsenov savjet je zaustaviti implementaciju, i zakrpao bih taj kernel, jer dolazi sa štopericom. I to je 'diff' za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

Izvori

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas