ParticleDB's Jepsen-rapport, Lenovos fingeraftryks-USB-stick, Karpathys HackerTube og Linux TCP-fejlen CVE-2026-98432: fire udviklerhistorier i én Daily Diff

Hvad denne video dækker

• Jepsen, database-testlaboratoriet drevet af Kyle Kingsbury, offentliggjorde sin analyse af ParticleDB den 31. oktober 2026. ParticleDB er en Rust-database fra Orkes rettet mod AI-agenter; Orkes finansierede arbejdet. Jepsen testede versionerne 1.1.4 til 1.1.18.11.rc-22 på en enkelt node og præsenterer 96 problemer, hvoraf de fleste krævede én server, én klient og ingen fejl. Eksempler i rapporten: en WHERE 4 = 5-klausul returnerede rækker med primærnøgle 5, WHERE TRUE matchede intet, og en UPDATE kunne efterlade flere rækker med samme primærnøgle.
• ParticleDB's hjemmeside annoncerede 'Fuld ACID. 159K TPS.' og et TLA+-bevis, men Jepsen siger, at ingen TLA+-specifikation var tilgængelig under samarbejdet, og teksten under 'Fuld ACID' sagde snapshot-isolation. I 1.1.18.11.rc-22, den sidste version Jepsen testede, mistede standard occ-transaktionstilstanden stadig bekræftede writes under normal drift, og den strengeste serialiserbare tilstand tillod Lost Update efter processdrab. Orkes siger, at version 1.1.19-rc.13 løser alle resterende problemer; Jepsen har ikke evalueret den og anbefaler, at brugere stopper yderligere implementering af ParticleDB og migrerer til andre databaser.
• Sikkerhedsforsker Xusheng Li fandt, at Lenovo ThinkPlus FU100 fingeraftryks-USB-sticket, markedsført som hardwarekrypteret med AES-256, indeholdt et almindeligt SD-kort, hvis data ikke var krypteret; fingeraftrykslæseren tændte kun for USB-forbindelsen. Han rapporterede det den 2. august 2025, og Lenovos første løsning var et lag epoxy over SD-kortet. Lenovo bedømte sin advarsel som høj, og en senere løsning for FU100 og relaterede drev kræver at ringe til en servicelinje i Kina, derefter en udskiftning eller en firmwareopgradering på stedet, ifølge Tom's Hardware.
• I en opfølgning rapporteret af Tom's Hardware brugte Li OpenAI's Codex med sin arbejdsgivers reverse engineering-værktøj mod andre producenters USB-beskyttelsessoftware; Netacs tog cirka syv minutter, fordi den havde en fast nøgle indbygget og skrev adgangskoden til diagnostiske logfiler, og en anden leverandørs drev havde to skjulte konti, som Li kalder bagdøre. For data på en USB-stick skal du kryptere filer med software, du kontrollerer, før de når enheden.
• Den 31. oktober 2026 beskrev Andrej Karpathy HackerTube, et YouTube-lignende websted på hackertube.org bygget med hans kodeagent på cirka to timer. Agenten downloadede Hacker News-kommentarer, filtrerede spam og beholdt omkring 40.000, der anbefalede en YouTube-video, hvilket resulterede i 6.454 videoer fra 2007 til 2026 fordelt på 150 emner. Webstedet viser billedet ved 50 procent-mærket i stedet for det uploadede miniaturebillede. Karpathy opregner sine manuelle trin som en Google Cloud API-nøgle, en server og et domæne.
• CVE-2026-98432 er en use-after-free i Linux-kernens IPv4 TCP-håndtryk, bedømt CVSS 9.8, som kan nås af en fjernpeer uden login. Eric Dumazets rettelse erstattede to almindelige kfree-kald med kfree_rcu i en commit dateret 1. oktober; stabile kerner med rettelsen blev sendt den 11. og 15. oktober, og fejlen går tilbage til Linux 4.4. Red Hat hævede sin vurdering fra Vigtig til Kritisk den 30. oktober. Ubuntu og Red Hat Enterprise Linux listede ingen rettet kerne lørdag aften, den 31. oktober. Installer din distributions rettede kerne og genstart, inklusive containerhosts, fordi containere deler værtens kerne.
• Anthropic siger, at Claude skrev en fungerende exploit til Linux-servere med en multipath TCP-lytter, og at det i deres proof of concept tager 48 minutter at lække en kernel-pointer og yderligere fem minutter at køre en shell-kommando; exploit'en er ikke offentliggjort. Go Security Team bemærker, at Go-programmer aktiverer multipath TCP-lyttere som standard siden Go 1.24 og advarer om, at systemer uden denne lytter kan være sårbare over for lignende angreb. Red Hat og AlmaLinux offentliggør en firewallregel, der dropper IPv4 TCP-pakker med IP-indstillinger, hvilket Red Hat siger reducerer eksponeringen og ikke fuldt ud forhindrer udnyttelse.

Oversat udskrift

Oversat fra den originale engelske fortælling. Tilgængelig lyd og undertekster styres af YouTube.

Koldstart: hvordan siger en where-klausul fire er lig med fem?

0:00 En database, der annoncerer fuld ACID, skal gemme det, du skriver. Jepsen testede en og fandt seksoghalvfems problemer, herunder en where-klausul der sagde fire er lig med fem og stadig returnerede rækker. I denne video, fire historier. Hvad fandt Jepsen i en database, der hævdede fuld ACID? Hvad var der inde i en fingeraftryks-USB-stick, der blev solgt som krypteret? Hvad byggede Andrej Karpathy på en morgen? Og hvad skal du patche for en Linux-netværksfejl?

0:26 En af disse fejl leveres med et stopur. Jeg læser det op for dig til sidst. Det er søndag den første november, og dette er The Daily Diff. Jepsen er Kyle Kingsburys testlaboratorium. Det kører en database gennem reelle arbejdsbelastninger og fejl og kontrollerer, om garantierne på hjemmesiden holder. Tænk på en inspektør, der rent faktisk åbner køleskabet.

Historie et: hvad fandt Jepsen i ParticleDB?

0:44 Historie et. Lørdag offentliggjorde Jepsen sin rapport om ParticleDB, en Rust-database fra Orkes rettet mod AI-agenter. Orkes betalte for arbejdet. Hjemmesiden sagde Fuldt ACID, et hundrede nioghalvtreds tusind transaktioner pr. sekund. Jepsen testede ParticleDB fra dens første 1.1-version til en sen udgivelseskandidat. Webstedet kaldte den formelt bevist, med et TLA plus bevis. Jepsen siger, at ingen TLA plus specifikation var tilgængelig under arbejdet.

1:10 Under linjen Fuldt ACID sagde samme side snapshot-isolation, som ikke er fuldt isoleret. Fejlene var ikke subtile. De fleste krævede én server, én klient og ingen injicerede fejl. En where-klausul, der sagde fire er lig med fem, returnerede rækker. En where-klausul, der sagde sand, matchede intet. Opdateringer efterlod to rækker med den samme primære nøgle. Den sidste udgivelse, Jepsen testede, udgivelseskandidat toogtyve,

1:36 var meget sikrere. Alligevel mistede standardtransaktionstilstanden bekræftede writes under normal drift. Den strengeste tilstand tillod stadig mistede opdateringer efter en processnedbrud. Orkes siger, at deres næste udgivelse løser alt dette. Jepsen har ikke testet det. Så i den sidste udgivelse kunne en database, der lovede fuld ACID, miste en skrivning, den allerede havde bekræftet. Hastigheden, formoder jeg, var fremragende.

2:00 Jepsens råd er klart. Stop yderligere implementering af ParticleDB og migrer til en anden database så hurtigt som muligt. Orkes skyder skylden på en forårsrefaktorering og siger, at deres egne kunder, på en ældre version, sandsynligvis var upåvirkede. Den gemte procedure dokumenter opfandt endda en e-mailadresse til Kyle Kingsbury. Historie to. Lenovo ThinkPlus FU et hundrede er en fingeraftryks-USB-stick

Historie to: hvad var der inde i Lenovos fingeraftryks-USB-stick?

2:21 markedsført som hardwarekrypteret med AES to hundrede seksoghalvtreds. Sikkerhedsforsker Xusheng Li skilte en ad og fandt et almindeligt SD-kort, uden noget krypteret på det. Fingeraftrykslæseren afgjorde én ting, om sticken var forbundet til computeren. Filerne på kortet afhang aldrig af det. Li rapporterede fejlen til Lenovo i august femogtyve. Den første løsning var et lag epoxy over SD-kortet. Så filerne blev aldrig krypteret.

2:47 Vent, det er bare et SD-kort? Det har det altid været. Lenovo vurderede sin egen advarsel som høj. Den senere rettelse, for FU et hundrede og tre relaterede drev, betyder at ringe til en servicelinje i Kina, derefter enten at sende drevet tilbage eller få en firmwareopgradering på stedet. Lenovo anbefaler at slette drevet først. Sidste uge pegede Li OpenAI's Codex, plus hans arbejdsgivers reverse engineering

3:09 værktøj, mod andre producenters USB-beskyttelsessoftware. Netacs tog cirka syv minutter, fordi den havde en fast nøgle indbygget og skrev adgangskoden til diagnostiske logfiler. Et drev havde to skjulte konti, som Li kalder bagdøre. Hvis et drevs sikkerhed er hardwaren, så tjek det selv. Krypter filerne med software, du kontrollerer, før de når sticken, og behandl fingeraftrykket som en bekvemmelighed.

Historie tre: hvad byggede Karpathy på en morgen?

3:31 Historie tre, den lette. Fredag aften åbnede Andrej Karpathy YouTube, så hvad han kaldte en "enshittified wall of slop", og lørdag morgen bad han sin kodeagent om at bygge en erstatning ud fra, hvad Hacker News anbefaler. Agenten downloadede Hacker News-kommentarerne, filtrerede spam fra, og beholdt omkring fyrre tusind, der anbefalede en YouTube-video. Det efterlod seks tusind fire hundrede fireoghalvtreds videoer, fra to tusind syv til nu, i hundrede halvtreds emner.

3:58 Webstedet er hackertube dot org. Den viser billedet fra halvvejsmærket i stedet for det miniaturebillede, uploaderen valgte, hvilket svier lidt. Karpathy siger, at hele byggeriet tog cirka to timer. Hans eneste manuelle trin var en Google API-nøgle, en server og et domæne. Den tolvte oktober fortalte jeg dig, at Karpathy mener, at adgang og opgaver skaber et hul i hvordan folk forstår disse værktøjer. To timers arbejde er et udmærket datapoint.

4:21 Historie fire, den man skal handle på.

Historie fire: hvad skal du patche for CVE-2026-98432?

4:23 CVE to tusind seksogtyve, niogfirs fire treoghalvtreds to er en use-after-free i Linux-kernens I P v fire TCP-håndtryk, bedømt ni komma otte ud af ti. En fjern peer uden login kan nå den. Eric Dumazet skrev rettelsen den første oktober. Rettelsen nåede stabile kerner den ellevte og femtende oktober, og fejlen går tilbage til Linux fire komma fire. Red Hat hævede sin vurdering fra vigtig til kritisk den tredivte oktober. Lørdag aften, Ubuntu og Red Hat Enterprise Linux listede stadig ingen rettet

4:52 kerne. Anthropic siger, at Claude skrev en fungerende exploit til servere med en multipath TCP lytter, og Go-programmer har åbnet disse som standard siden Go et komma tyve fire. Go-teamet advarer om, at systemer uden den lytter kan være sårbare over for lignende angreb, og siger, at den bedste løsning er en patcht kerne. Hvis din distribution ikke har en rettet kerne endnu, offentliggør Red Hat og AlmaLinux en firewallregel, der dropper I P v fire TCP-pakker med IP-indstillinger. Red Hat siger, at det reducerer eksponeringen og ikke fuldt ud kan forhindre den.

5:23 Derefter venter du. Hvad skal man gøre i dag. Installer din distributions rettede kerne og genstart, også på containerhosts og Kubernetes-noder, fordi containere deler værtens kerne. Debian, Suse og Amazon Linux har allerede rettelser. Hvis du ikke kan patche endnu, start med værter, der kører multipath TCP-lyttere. Nu stopuret jeg lovede.

Tilbage til stopuret: hvor lang tid tog udnyttelsen?

5:44 I Anthropic's eget proof of concept tager det otteogfyrre minutter at lække en kernel-pointer, derefter yderligere fem minutter at køre en shell-kommando. Anthropic har ikke offentliggjort exploit'en. Hvis du hellere vil læse dette end høre mig sige det, lander diffen i din indbakke hver morgen, gratis på the daily diff dot dev, link nedenfor.

Dom: REVERT

6:02 Så dagens dom er REVERT. Jeg ville vende tilbage til ParticleDB, fordi Jepsens råd er at stoppe implementeringen, og jeg ville patche den kerne, fordi den leveres med et stopur. Og det er diffen for i dag. Jeg er Niko fra Axrisi. Flet ansvarligt.

Kilder

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas