Zpráva Jepsen o ParticleDB, USB klíč Lenovo s otiskem prstu, HackerTube od Karpathyho a chyba TCP v Linuxu CVE-2026-98432: čtyři vývojářské příběhy v jednom Daily Diff

Co toto video pokrývá

• Jepsen, laboratoř pro testování databází vedená Kylem Kingsburym, zveřejnila svou analýzu ParticleDB 31. října 2026. ParticleDB je databáze v Rustu od Orkes zaměřená na AI agenty; Orkes financoval tuto práci. Jepsen testoval verze 1.1.4 až 1.1.18.11.rc-22 na jednom uzlu a představuje 96 problémů, z nichž většina vyžadovala jeden server, jednoho klienta a žádné chyby. Příklady v reportu: klauzule WHERE 4 = 5 vrátila řádky s primárním klíčem 5, WHERE TRUE nenašlo nic a UPDATE mohl zanechat více řádků se stejným primárním klíčem.
• Domovská stránka ParticleDB inzerovala „Full ACID. 159K TPS.“ a důkaz TLA+, ale Jepsen říká, že během spolupráce nebyla k dispozici žádná specifikace TLA+, a text pod „Full ACID“ uváděl izolaci snímků. Ve verzi 1.1.18.11.rc-22, poslední verzi testované Jepsenem, výchozí transakční režim occ stále ztrácel potvrzené zápisy během normálního provozu a nejpřísnější serializovatelný režim umožňoval ztrátu aktualizace po ukončení procesů. Orkes tvrdí, že verze 1.1.19-rc.13 řeší všechny zbývající problémy; Jepsen ji nehodnotil a doporučuje uživatelům zastavit další nasazení ParticleDB a migrovat na jiné databáze.
• Bezpečnostní výzkumník Xusheng Li zjistil, že USB klíč Lenovo ThinkPlus FU100 s otiskem prstu, uváděný na trh jako hardwarově šifrovaný s AES-256, obsahoval obyčejnou SD kartu, jejíž data nebyla šifrována; čtečka otisků prstů pouze zapnula USB připojení. Zprávu o tom podal 2. srpna 2025 a první oprava od Lenova byla vrstva epoxidu přes SD kartu. Lenovo hodnotilo své upozornění jako vysoké a pozdější oprava pro FU100 a související disky vyžaduje zavolání servisní linky v Číně, poté výměnu nebo upgrade firmwaru na místě, podle Tom's Hardware.
• V navazující zprávě od Tom's Hardware, Li použil OpenAI's Codex se svým nástrojem pro reverzní inženýrství proti softwaru pro ochranu USB jiných výrobců; Netac to trvalo asi sedm minut, protože měl zabudovaný pevný klíč a zapisoval heslo do diagnostických protokolů, a disk jiného dodavatele měl dva skryté účty, které Li nazývá zadními vrátky. Pro data na USB klíči šifrujte soubory softwarem, který ovládáte, než se dostanou na zařízení.
• 31. října 2026 Andrej Karpathy popsal HackerTube, stránku ve stylu YouTube na hackertube.org, kterou postavil se svým kódovacím agentem za přibližně dvě hodiny. Agent stáhl komentáře Hacker News, odfiltroval spam a ponechal asi 40 000, které doporučovaly video z YouTube, což vedlo k 6 454 videím z let 2007 až 2026 napříč 150 tématy. Stránka zobrazuje snímek z 50 % místo nahraného náhledu. Karpathy uvádí své ruční kroky jako klíč API Google Cloud, server a doménu.
• CVE-2026-98432 je chyba use-after-free v IPv4 TCP handshake jádra Linuxu, hodnocená CVSS 9.8, dostupná vzdáleným partnerem bez přihlášení. Oprava od Erica Dumazeta nahradila dva obyčejné volání kfree voláním kfree_rcu v commitu z 1. října; stabilní jádra s opravou byla dodána 11. a 15. října a chyba sahá až do Linuxu 4.4. Red Hat zvýšil své hodnocení z Důležité na Kritické 30. října. Ubuntu a Red Hat Enterprise Linux neuváděly žádné opravené jádro v sobotu večer, 31. října. Nainstalujte opravené jádro vaší distribuce a restartujte, včetně hostitelů kontejnerů, protože kontejnery sdílejí hostitelské jádro.
• Anthropic říká, že Claude napsal funkční exploit pro servery Linux s multipath TCP listenerem, a že v jeho proof of concept trvá 48 minut k úniku ukazatele jádra a dalších pět minut ke spuštění shell příkazu; exploit není publikován. Go Security Team poznamenává, že programy Go povolují multipath TCP listenery ve výchozím nastavení od Go 1.24 a varuje, že systémy bez tohoto listeneru mohou být zranitelné podobnými útoky. Red Hat a AlmaLinux zveřejňují pravidlo firewallu, které zahazuje IPv4 TCP pakety s IP volbami, což Red Hat říká, že snižuje expozici a plně nezabraňuje zneužití.

Přeložený přepis

Přeloženo z původního anglického vyprávění. Dostupné audio a titulky jsou řízeny YouTube.

Studený úvod: jak klauzule where říká čtyři se rovná pěti?

0:00 Databáze, která inzeruje Full ACID, by měla uchovávat to, co do ní zapíšete. Jepsen jednu testoval a našel devadesát šest problémů, včetně klauzule where, která říkala čtyři se rovná pěti a přesto vracela řádky. V tomto videu čtyři příběhy. Co Jepsen zjistil v databázi, která tvrdila Full ACID? Co bylo uvnitř USB klíče s otiskem prstu prodávaného jako šifrovaný? Co Andrej Karpathy postavil za jedno dopoledne? A co opravíte pro chybu sítě v Linuxu?

0:26 Jedna z těchto chyb je dodávána se stopkami. Přečtu vám to na konci. Je neděle, prvního listopadu, a toto je The Daily Diff. Jepsen je testovací laboratoř Kyla Kingsburyho. Spouští databázi přes reálné zátěže a selhání a kontroluje, zda se dodržují záruky na webových stránkách. Představte si inspektora, který skutečně otevře ledničku.

Příběh první: co Jepsen zjistil v ParticleDB?

0:44 Příběh jedna. V sobotu Jepsen zveřejnil svou zprávu o ParticleDB, databázi Rust od Orkes zaměřené na agenty AI. Orkes práci zaplatil. Na domovské stránce bylo uvedeno Full ACID, sto padesát devět tisíc transakcí za sekundu. Jepsen testoval ParticleDB od jejího prvního sestavení 1.1 až po pozdní kandidáta na vydání. Stránka ji nazývala formálně ověřenou, s důkazem TLA plus. Jepsen říká, že během práce nebyla k dispozici žádná specifikace TLA plus.

1:10 Pod řádkem Full ACID na stejné stránce bylo uvedeno izolace snímků, což není plně izolované. Chyby nebyly jemné. Většina potřebovala jeden server, jednoho klienta a žádné vložené chyby. Klauzule where, která říkala čtyři se rovná pěti, vrátila řádky. Klauzule where, která říkala true, nenašla nic. Aktualizace zanechaly dva řádky se stejným primárním klíčem. Poslední vydání, které Jepsen testoval, release candidate dvacet dva,

1:36 bylo mnohem bezpečnější. Přesto výchozí transakční režim ztratil potvrzené zápisy během normálního provozu. Nejpřísnější režim stále umožňoval ztracené aktualizace po ukončení procesu. Orkes říká, že jeho další vydání to vše opravuje. Jepsen to netestoval. Takže v té poslední verzi databáze, která slibovala Full ACID, mohla ztratit zápis, který již potvrdila. Rychlost, předpokládám, byla vynikající.

2:00 Rada Jepsena je jasná. Zastavte další nasazení ParticleDB a co nejdříve migrujte na jinou databázi. Orkes viní refaktoring na jaře a říká, že jeho vlastní zákazníci, na starší verzi, byli pravděpodobně neovlivněni. Dokumentace k uloženým procedurám dokonce vymyslela e-mailovou adresu pro Kyla Kingsburyho. Příběh druhý. Lenovo ThinkPlus FU sto je USB klíč s otiskem prstu

Příběh druhý: co bylo uvnitř USB klíče Lenovo s otiskem prstu?

2:21 prodávaný jako hardwarově šifrovaný s AES dvě stě padesát šest. Bezpečnostní výzkumník Xusheng Li jeden rozebral a našel obyčejnou SD kartu, bez jakéhokoli šifrování. Čtečka otisků prstů rozhodla jediné, zda se klíč připojí k počítači. Soubory na kartě na tom nikdy nezávisely. Li nahlásil chybu Lenovu v srpnu dvacet dvacet pět. První oprava byla vrstva epoxidu přes SD kartu. Takže soubory nikdy nebyly šifrovány.

2:47 Počkejte, je to jen SD karta? Vždycky byla. Lenovo samo ohodnotilo své upozornění jako vysoké. Pozdější oprava pro FU sto a tři související disky, znamená zavolat na servisní linku v Číně, a poté buď odeslat disk zpět, nebo získat upgrade firmwaru na místě. Lenovo doporučuje disk nejprve vymazat. Minulý týden Li nasměroval OpenAI's Codex, plus nástroj pro reverzní inženýrství jeho zaměstnavatele,

3:09 na software pro ochranu USB jiných výrobců. Netac to trvalo asi sedm minut, protože měl zabudovaný pevný klíč a zapisoval heslo do diagnostických protokolů. Jeden disk měl dva skryté účty, které Li nazývá zadními vrátky. Pokud je zabezpečení disku hardware, zkontrolujte si ho sami. Soubory zašifrujte softwarem, který ovládáte, než se dostanou na disk, a otisk prstu považujte za pouhé pohodlí.

Příběh třetí: co postavil Karpathy za jedno dopoledne?

3:31 Příběh třetí, ten lehký. V pátek večer Andrej Karpathy otevřel YouTube, uviděl, co nazval „zašpiněnou stěnou sraček“, a v sobotu ráno řekl svému kódovacímu agentovi, aby vytvořil náhradu z toho, co doporučuje Hacker News. Agent stáhl komentáře Hacker News, odfiltroval spam, a ponechal asi čtyřicet tisíc, které doporučovaly video z YouTube. Zbylo šest tisíc čtyři sta padesát čtyři videí, od roku dva tisíce sedm do současnosti, ve sto padesáti tématech.

3:58 Stránka je hackertube tečka org. Zobrazuje snímek z poloviny videa místo náhledu, který si nahrál nahrávající, což trochu štípe. Karpathy říká, že celá stavba trvala asi dvě hodiny. Jeho jediné manuální kroky byly klíč Google API, server a doména. Dvanáctého října jsem vám řekl, že Karpathy si myslí, že přístup a úkoly vytvářejí mezeru v tom, jak lidé chápou tyto nástroje. Dvě hodiny práce jsou slušný datový bod.

4:21 Příběh čtvrtý, ten, na který je třeba jednat.

Příběh čtvrtý: co opravíte pro CVE-2026-98432?

4:23 CVE dvacet dvacet šest, devadesát osm čtyři sta třicet dva je use-after-free v IPv4 TCP handshake jádra Linuxu, hodnocené devět celých osm z deseti. Vzdálený partner bez přihlášení se k němu může dostat. Eric Dumazet napsal opravu prvního října. Oprava se dostala do stabilních jader jedenáctého a patnáctého října, a chyba sahá až do Linuxu čtyři tečka čtyři. Red Hat zvýšil své hodnocení z důležitého na kritické třicátého října. V sobotu večer Ubuntu a Red Hat Enterprise Linux stále neuváděly žádné opravené

4:52 jádro. Anthropic říká, že Claude napsal funkční exploit pro servery s multipath TCP listenerem, a programy Go je ve výchozím nastavení otevírají od Go jedna tečka dvacet čtyři. Tým Go varuje, že systémy bez tohoto listeneru mohou být zranitelné podobnými útoky, a říká, že nejlepší oprava je opravené jádro. Pokud vaše distribuce ještě nemá opravené jádro, Red Hat a AlmaLinux zveřejňují pravidlo firewallu, které zahazuje IPv4 TCP pakety nesoucí IP volby. Red Hat říká, že snižuje expozici a nemůže ji plně zabránit.

5:23 Potom počkáte. Co dělat dnes. Nainstalujte opravené jádro své distribuce a restartujte, i na hostitelích kontejnerů a uzlech Kubernetes, protože kontejnery sdílejí hostitelské jádro. Debian, Suse a Amazon Linux již mají opravy. Pokud ještě nemůžete patchovat, začněte s hostiteli, kteří spouštějí multipath TCP listenery. Nyní slíbené stopky.

Zpět k stopkám: jak dlouho trval exploit?

5:44 V rámci vlastního proof of concept Anthropic trvá čtyřicet osm minut uniknout ukazatel jádra, a poté dalších pět minut spustit příkaz shellu. Anthropic exploit nezveřejnil. Pokud byste si to raději přečetli, než abyste mě slyšeli to říkat, diff přistane ve vaší doručené poště každé ráno, zdarma na the daily diff dot dev, odkaz níže.

Verdikt: REVERT

6:02 Takže dnešní verdikt je REVERT. Vrátil bych ParticleDB, protože rada Jepsena je zastavit nasazení, a opravil bych to jádro, protože je dodáváno se stopkami. A to je dnešní diff. Jsem Niko z Axrisi. Sloučit zodpovědně.

Zdroje

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas