# Informe Jepsen de ParticleDB, memòria USB amb empremta digital de Lenovo, HackerTube de Karpathy i l'error TCP de Linux CVE-2026-98432: quatre històries de desenvolupadors en un Daily Diff Published: 2026-11-02 Quatre històries de desenvolupadors, cadascuna atribuïda a la seva font. L'anàlisi de Jepsen de la base de dades ParticleDB va trobar 96 problemes, incloses pèrdues d'escriptures confirmades en el mode de transacció predeterminat de l'última versió provada, i recomana aturar la implementació; la prova va ser finançada per Orkes, que diu que la seva pròxima versió ho soluciona tot. Un llapis USB amb empremta digital Lenovo ThinkPlus FU100 venut com a xifrat AES-256 contenia una targeta SD ordinària sense res xifrat, segons l'investigador Xusheng Li, tal com va informar Tom's Hardware. Andrej Karpathy va construir HackerTube, un lloc de 6.454 vídeos de YouTube recomanats en els comentaris de Hacker News, en unes dues hores. I el CVE-2026-98432 del nucli de Linux, un use-after-free de TCP IPv4 amb una puntuació de 9,8, necessita un nucli pegat i un reinici. El veredicte és REVERT. Canonical: https://thedailydiff.dev/ca/video/2026-11-01-particledb-lenovo-tcp-hackertube/ ## Què cobreix aquest vídeo - Jepsen, el laboratori de proves de bases de dades dirigit per Kyle Kingsbury, va publicar la seva anàlisi de ParticleDB el 31 d'octubre de 2026. ParticleDB és una base de dades Rust d'Orkes destinada a agents d'IA; Orkes va finançar el treball. Jepsen va provar les versions 1.1.4 a 1.1.18.11.rc-22 en un sol node i presenta 96 problemes, la majoria dels quals necessitaven un servidor, un client i cap error. Exemples a l'informe: una clàusula WHERE 4 = 5 va retornar files amb clau primària 5, WHERE TRUE no va coincidir amb res, i un UPDATE podia deixar diverses files amb la mateixa clau primària. - La pàgina d'inici de ParticleDB anunciava 'Full ACID. 159K TPS.' i una prova TLA+, però Jepsen diu que no hi havia cap especificació TLA+ disponible durant la col·laboració, i el text sota 'Full ACID' deia aïllament de snapshot. A la versió 1.1.18.11.rc-22, l'última versió provada per Jepsen, el mode de transacció per defecte occ encara perdia escriptures confirmades durant el funcionament normal, i el mode serialitzable més estricte permetia l'actualització perduda després de la finalització dels processos. Orkes diu que la versió 1.1.19-rc.13 resol tots els problemes restants; Jepsen no l'ha avaluat i recomana als usuaris aturar la implementació de ParticleDB i migrar a altres bases de dades. - L'investigador de seguretat Xusheng Li va trobar que el llapis USB amb empremta digital Lenovo ThinkPlus FU100, comercialitzat com a xifrat per maquinari amb AES-256, contenia una targeta SD normal les dades de la qual no estaven xifrades; el lector d'empremtes digitals només activava la connexió USB. Ho va informar el 2 d'agost de 2025, i la primera solució de Lenovo va ser una capa d'epoxi sobre la targeta SD. Lenovo va qualificar el seu avís d'alt, i una solució posterior per al FU100 i les unitats relacionades requereix trucar a una línia de servei a la Xina, i després un reemplaçament o una actualització de firmware in situ, segons Tom's Hardware. - En un seguiment informat per Tom's Hardware, Li va utilitzar OpenAI's Codex amb l'eina d'enginyeria inversa del seu ocupador contra el programari de protecció USB d'altres fabricants; el de Netac va trigar uns set minuts perquè tenia una clau fixa integrada i escrivia la contrasenya als registres de diagnòstic, i la unitat d'un altre proveïdor tenia dos comptes ocults que Li anomena portes del darrere. Per a les dades d'un llapis USB, xifreu els fitxers amb un programari que controleu abans que arribin al dispositiu. - El 31 d'octubre de 2026, Andrej Karpathy va descriure HackerTube, un lloc d'estil YouTube a hackertube.org construït amb el seu agent de codificació en unes dues hores. L'agent va descarregar els comentaris de Hacker News, va filtrar el spam i va conservar uns 40.000 que recomanaven un vídeo de YouTube, resultant en 6.454 vídeos del 2007 al 2026 en 150 temes. El lloc mostra el fotograma a la marca del 50 per cent en lloc de la miniatura pujada. Karpathy enumera els seus passos manuals com una clau d'API de Google Cloud, un servidor i un domini. - CVE-2026-98432 és un use-after-free en l'apretó de mans TCP IPv4 del nucli de Linux, amb una puntuació CVSS de 9,8, accessible per un parell remot sense iniciar sessió. La solució d'Eric Dumazet va substituir dues trucades kfree simples per kfree\_rcu en un commit datat l'1 d'octubre; els nuclis estables amb la solució es van enviar l'11 i el 15 d'octubre, i l'error es remunta a Linux 4.4. Red Hat va augmentar la seva qualificació d'Important a Crítica el 30 d'octubre. Ubuntu i Red Hat Enterprise Linux no van llistar cap nucli arreglat dissabte a la nit, 31 d'octubre. Instal·leu el nucli arreglat de la vostra distribució i reinicieu, inclosos els hosts de contenidors, perquè els contenidors comparteixen el nucli de l'amfitrió. - Anthropic diu que Claude va escriure un exploit funcional per a servidors Linux amb un oient TCP multipath, i que en la seva prova de concepte triga 48 minuts a filtrar un punter del nucli i cinc minuts més a executar una ordre de shell; l'exploit no està publicat. L'equip de seguretat de Go assenyala que els programes Go habiliten els oients TCP multipath per defecte des de Go 1.24 i adverteix que els sistemes sense aquest oient poden ser vulnerables a atacs similars. Red Hat i AlmaLinux publiquen una regla de tallafocs que descarta paquets TCP IPv4 amb opcions IP, que segons Red Hat redueix l'exposició i no impedeix completament l'explotació. ## Preguntes i respostes ### Què va trobar Jepsen a la base de dades ParticleDB, i què recomana? L'anàlisi de Jepsen de ParticleDB, publicada el 31 d'octubre de 2026 i finançada per Orkes, presenta 96 problemes a les versions 1.1.4 a 1.1.18.11.rc-22, inclòs que WHERE 4 = 5 retornava files. En l'última versió provada, el mode de transacció per defecte encara perdia escriptures confirmades durant el funcionament normal. Jepsen recomana als usuaris aturar la implementació de ParticleDB i migrar a altres bases de dades. ### El llapis USB amb empremta digital ThinkPlus FU100 de Lenovo estava realment xifrat amb AES-256? Segons l'investigador Xusheng Li, tal com van informar Tom's Hardware i HackingPassion, el FU100 es comercialitzava com a xifrat per maquinari AES-256, però contenia una targeta SD normal sense res xifrat. El lector d'empremtes digitals només activava la connexió USB. La primera solució de Lenovo va ser epoxi sobre la targeta, i una solució posterior requereix trucar a una línia de servei a la Xina per a un reemplaçament o una actualització de firmware in situ. ### Què és HackerTube i com el va construir Andrej Karpathy? HackerTube a hackertube.org és un lloc d'estil YouTube amb 6.454 vídeos recomanats en els comentaris de Hacker News del 2007 al 2026, en 150 temes. La publicació de Karpathy diu que el seu agent de codificació va descarregar els comentaris, va filtrar el spam i va conservar uns 40.000 que recomanaven un vídeo, i que la construcció triga unes dues hores. Els seus passos manuals van ser una clau d'API de Google Cloud, un servidor i un domini. ### Com soluciono el CVE-2026-98432 del nucli de Linux, i quines distribucions tenen un nucli pegat? Instal·leu el nucli arreglat de la vostra distribució i reinicieu, inclosos els hosts de contenidors i els nodes de Kubernetes, ja que els contenidors comparteixen el nucli de l'amfitrió. L'error és un use-after-free de TCP IPv4 amb una puntuació CVSS de 9,8, solucionat upstream en nuclis estables l'11 i el 15 d'octubre. Segons Atlas el 31 d'octubre, Debian, SUSE i Amazon Linux tenien solucions, mentre que Ubuntu i Red Hat Enterprise Linux no; Red Hat publica una mitigació de tallafocs que redueix l'exposició. ### Quin va ser el veredicte de The Daily Diff sobre aquestes quatre històries? El veredicte de The Daily Diff va ser REVERT. El consell de Jepsen sobre ParticleDB és aturar la implementació i migrar, i l'error del nucli Linux CVE-2026-98432 necessita un nucli pegat i un reinici, amb la pròpia prova de concepte d'Anthropic trigant 48 minuts a filtrar un punter del nucli i cinc minuts més a executar una ordre de shell. ## Capítols - 0:00 Inici fred: com una clàusula where diu que quatre és igual a cinc? - 0:44 Història u: què va trobar Jepsen a ParticleDB? - 2:17 Història dos: què hi havia dins del llapis USB amb empremta digital de Lenovo? - 3:31 Història tres: què va construir Karpathy en un matí? - 4:22 Història quatre: què pegues per a CVE-2026-98432? - 5:43 Tornant al cronòmetre: quant va trigar l'exploit? - 6:02 Veredicte: REVERT ## Transcripció traduïda Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube. ### Inici fred: com una clàusula where diu que quatre és igual a cinc? 0:00 Una base de dades que anuncia Full ACID se suposa que ha de mantenir el que escrius. Jepsen en va provar una i va trobar noranta-sis problemes, inclosa una clàusula where que deia quatre és igual a cinc i encara retornava files. En aquest vídeo, quatre històries. Què va trobar Jepsen en una base de dades que afirmava ser Full ACID? Què hi havia dins d'un llapis USB amb empremta digital venut com a xifrat? Què va construir Andrej Karpathy en un matí? I què pegues per a un error de xarxa de Linux? 0:26 Un d'aquests errors ve amb un cronòmetre. Te'l llegiré al final. És diumenge, 1 de novembre, i aquest és The Daily Diff. Jepsen és el laboratori de proves de Kyle Kingsbury. Executa una base de dades a través de càrregues de treball i fallades reals i comprova si les garanties del lloc web es mantenen. Pensa en un inspector que realment obre la nevera. ### Història u: què va trobar Jepsen a ParticleDB? 0:44 Història u. Dissabte, Jepsen va publicar el seu informe sobre ParticleDB, una base de dades Rust d'Orkes destinada a agents d'IA. Orkes va pagar el treball. La pàgina d'inici deia Full ACID, cent cinquanta-nou mil transaccions per segon. Jepsen va provar ParticleDB des de la seva primera compilació 1.1 fins a una versió candidata final. El lloc la va anomenar formalment provada, amb una prova TLA+. Jepsen diu que no hi havia cap especificació TLA+ disponible durant el treball. 1:10 Sota la línia Full ACID, la mateixa pàgina deia aïllament de snapshot, que no està totalment aïllat. Els errors no eren subtils. La majoria necessitaven un servidor, un client i cap fallada injectada. Una clàusula where que deia quatre és igual a cinc retornava files. Una clàusula where que deia true no coincidia amb res. Les actualitzacions deixaven dues files amb la mateixa clau primària. L'última versió que Jepsen va provar, la versió candidata vint-i-dos, 1:36 era molt més segura. Tot i així, el mode de transacció per defecte perdia escriptures confirmades durant el funcionament normal. El mode més estricte encara permetia actualitzacions perdudes després d'una finalització de procés. Orkes diu que la seva pròxima versió ho soluciona tot. Jepsen no l'ha provat. Així que en aquesta última versió, una base de dades que prometia Full ACID podia perdre una escriptura que ja havia compromès. La velocitat, suposo, era excel·lent. 2:00 El consell de Jepsen és clar. Atureu la implementació de ParticleDB i migreu a una altra base de dades tan aviat com sigui possible. Orkes culpa a una refactorització de primavera i diu que els seus propis clients, en una versió anterior, probablement no es van veure afectats. La documentació del procediment emmagatzemat fins i tot va inventar una adreça de correu electrònic per a Kyle Kingsbury. Història dos. El Lenovo ThinkPlus FU100 és un llapis USB amb empremta digital ### Història dos: què hi havia dins del llapis USB amb empremta digital de Lenovo? 2:21 comercialitzat com a xifrat per maquinari amb AES-256. L'investigador de seguretat Xusheng Li en va desmuntar un i va trobar una targeta SD normal, sense res xifrat. El lector d'empremtes digitals decidia una cosa: si el llapis es connectava a l'ordinador. Els fitxers de la targeta mai van dependre d'ell. Li va informar de la fallada a Lenovo l'agost de 2025. La primera solució va ser una capa d'epoxi sobre la targeta SD. Així que els fitxers mai es van xifrar. 2:47 Espera, és només una targeta SD? Sempre ho ha estat. Lenovo va qualificar el seu propi avís d'alt. La solució posterior, per al FU100 i tres unitats relacionades, significa trucar a una línia de servei a la Xina, i després enviar la unitat de tornada o obtenir una actualització de firmware in situ. Lenovo aconsella netejar la unitat primer. La setmana passada, Li va dirigir OpenAI's Codex, a més de l'eina d'enginyeria inversa del seu ocupador, 3:09 al programari de protecció USB d'altres fabricants. El de Netac va trigar uns set minuts, perquè tenia una clau fixa integrada i escrivia la contrasenya als registres de diagnòstic. Una unitat tenia dos comptes ocults que Li anomena portes del darrere. Si la seguretat d'una unitat és el maquinari, comprova-ho tu mateix. Xifra els fitxers amb un programari que controles abans que arribin al llapis, i tracta l'empremta digital com una comoditat. ### Història tres: què va construir Karpathy en un matí? 3:31 Història tres, la lleugera. Divendres a la nit, Andrej Karpathy va obrir YouTube, va veure el que va anomenar un mur de porqueria "enshitificada", i dissabte al matí va dir al seu agent de codificació que construís un reemplaçament a partir del que recomanés Hacker News. L'agent va descarregar els comentaris de Hacker News, va filtrar el spam, i va conservar uns quaranta mil que recomanaven un vídeo de YouTube. Això va deixar sis mil quatre-cents cinquanta-quatre vídeos, del dos mil set fins ara, en cent cinquanta temes. 3:58 El lloc és hackertube.org. Mostra el fotograma de la meitat en lloc de la miniatura que l'uploader va triar, cosa que pica una mica. Karpathy diu que tota la construcció va trigar unes dues hores. Els seus únics passos manuals van ser una clau d'API de Google, un servidor i un domini. El dotze d'octubre et vaig dir que Karpathy creu que l'accés i les tasques creen una bretxa en com la gent entén aquestes eines. Dues hores de treball són una dada decent. 4:21 Història quatre, la que s'ha d'actuar. ### Història quatre: què pegues per a CVE-2026-98432? 4:23 CVE-2026-98432 és un use-after-free en l'apretó de mans TCP IPv4 del nucli de Linux, amb una puntuació de nou punt vuit sobre deu. Un parell remot sense inici de sessió el pot accedir. Eric Dumazet va escriure la solució l'u d'octubre. La solució va arribar als nuclis estables l'onze i el quinze d'octubre, i l'error es remunta a Linux quatre punt quatre. Red Hat va augmentar la seva qualificació d'important a crítica el trenta d'octubre. Dissabte al vespre, Ubuntu i Red Hat Enterprise Linux encara no tenien cap nucli arreglat. 4:52 nucli. Anthropic diu que Claude va escriure un exploit funcional per a servidors amb un oient TCP multipath, i els programes Go els han obert per defecte des de Go u punt vint-i-quatre. L'equip de Go adverteix que els sistemes sense aquest oient poden ser vulnerables a atacs similars, i diu que la millor solució és un nucli pegat. Si la vostra distribució encara no té un nucli arreglat, Red Hat i AlmaLinux publiquen una regla de tallafocs que descarta paquets TCP IPv4 que contenen opcions IP. Red Hat diu que redueix l'exposició i no la pot prevenir completament. 5:23 Després d'això, espereu. Què fer avui. Instal·leu el nucli arreglat de la vostra distribució i reinicieu, també en hosts de contenidors i nodes de Kubernetes, perquè els contenidors comparteixen el nucli de l'amfitrió. Debian, Suse i Amazon Linux ja tenen solucions. Si encara no podeu aplicar el pegat, comenceu amb els hosts que executen oients TCP multipath. Ara el cronòmetre que vaig prometre. ### Tornant al cronòmetre: quant va trigar l'exploit? 5:44 En la pròpia prova de concepte d'Anthropic, es triguen quaranta-vuit minuts a filtrar un punter del nucli, i cinc minuts més a executar una ordre de shell. Anthropic no ha publicat l'exploit. Si preferiu llegir això que escoltar-m'ho dir, la diferència arriba a la vostra safata d'entrada cada matí, gratuïtament a thedailydiff.dev, enllaç a continuació. ### Veredicte: REVERT 6:02 Així que el veredicte d'avui és REVERT. Revertiria ParticleDB, perquè el consell de Jepsen és aturar la implementació, i aplicaria el pegat a aquest nucli, perquè ve amb un cronòmetre. I això és la diferència d'avui. Sóc en Niko d'Axrisi. Feu la fusió amb responsabilitat. ## Fonts - [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen - [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware - [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion - [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy - [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security - [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat - [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet) - [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic - [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security - [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas