ParticleDBs Jepsen-Bericht, Lenovos Fingerabdruck-USB-Stick, Karpathys HackerTube und der Linux TCP-Bug CVE-2026-98432: vier Entwicklergeschichten in einem Daily Diff

Was dieses Video behandelt

• Jepsen, das von Kyle Kingsbury betriebene Datenbanktestlabor, veröffentlichte seine Analyse von ParticleDB am 31. Oktober 2026. ParticleDB ist eine Rust-Datenbank von Orkes, die auf KI-Agenten abzielt; Orkes finanzierte die Arbeit. Jepsen testete die Versionen 1.1.4 bis 1.1.18.11.rc-22 auf einem einzelnen Knoten und präsentiert 96 Probleme, von denen die meisten einen Server, einen Client und keine Fehler benötigten. Beispiele im Bericht: Eine WHERE 4 = 5-Klausel gab Zeilen mit dem Primärschlüssel 5 zurück, WHERE TRUE stimmte mit nichts überein, und ein UPDATE konnte mehrere Zeilen mit demselben Primärschlüssel hinterlassen.
• Die ParticleDB-Homepage bewarb 'Full ACID. 159K TPS.' und einen TLA+-Beweis, aber Jepsen sagt, dass während der Zusammenarbeit keine TLA+-Spezifikation verfügbar war, und der Text unter 'Full ACID' besagte Snapshot-Isolation. In 1.1.18.11.rc-22, der letzten von Jepsen getesteten Version, verlor der standardmäßige OCC-Transaktionsmodus bei normalem Betrieb immer noch bestätigte Schreibvorgänge, und der strengste serialisierbare Modus erlaubte Lost Update nach Prozesskills. Orkes sagt, dass Version 1.1.19-rc.13 alle verbleibenden Probleme behebt; Jepsen hat sie nicht evaluiert und empfiehlt Benutzern, die weitere Bereitstellung von ParticleDB einzustellen und auf andere Datenbanken zu migrieren.
• Der Sicherheitsforscher Xusheng Li fand heraus, dass der Lenovo ThinkPlus FU100 Fingerabdruck-USB-Stick, der als Hardware-verschlüsselt mit AES-256 vermarktet wurde, eine gewöhnliche SD-Karte enthielt, deren Daten nicht verschlüsselt waren; der Fingerabdruckleser schaltete lediglich die USB-Verbindung ein. Er meldete dies am 2. August 2025, und Lenovos erste Lösung war eine Schicht Epoxidharz über der SD-Karte. Lenovo bewertete seine Warnung als hoch, und eine spätere Lösung für den FU100 und verwandte Laufwerke erfordert einen Anruf bei einer Serviceline in China, dann einen Austausch oder ein Firmware-Upgrade vor Ort, so Tom's Hardware.
• In einer von Tom's Hardware berichteten Folgemeldung nutzte Li OpenAIs Codex mit dem Reverse-Engineering-Tool seines Arbeitgebers gegen die USB-Schutzsoftware anderer Hersteller; die von Netac dauerte etwa sieben Minuten, weil sie einen festen Schlüssel eingebaut hatte und das Passwort in Diagnoseprotokolle schrieb, und das Laufwerk eines anderen Anbieters hatte zwei versteckte Konten, die Li als Hintertüren bezeichnet. Für Daten auf einem USB-Stick sollten Dateien mit einer von Ihnen kontrollierten Software verschlüsselt werden, bevor sie das Gerät erreichen.
• Am 31. Oktober 2026 beschrieb Andrej Karpathy HackerTube, eine YouTube-ähnliche Website unter hackertube.org, die er mit seinem Codierungsagenten in etwa zwei Stunden erstellt hat. Der Agent lud Hacker News-Kommentare herunter, filterte Spam und behielt etwa 40.000, die ein YouTube-Video empfehlen, was 6.454 Videos von 2007 bis 2026 in 150 Themen ergab. Die Website zeigt den Frame bei der 50-Prozent-Marke anstelle des hochgeladenen Miniaturbildes. Karpathy listet seine manuellen Schritte als Google Cloud API-Schlüssel, einen Server und eine Domain auf.
• CVE-2026-98432 ist ein Use-after-free im IPv4 TCP-Handshake des Linux-Kernels, mit einem CVSS-Score von 9.8, erreichbar durch einen entfernten Peer ohne Login. Eric Dumazets Fix ersetzte zwei einfache kfree-Aufrufe durch kfree_rcu in einem Commit vom 1. Oktober; stabile Kernel mit dem Fix wurden am 11. und 15. Oktober ausgeliefert, und der Bug geht auf Linux 4.4 zurück. Red Hat erhöhte seine Bewertung am 30. Oktober von Important auf Critical. Ubuntu und Red Hat Enterprise Linux listeten am Samstagabend, dem 31. Oktober, keinen gefixten Kernel auf. Installieren Sie den gefixten Kernel Ihrer Distribution und starten Sie neu, einschließlich Container-Hosts, da Container den Host-Kernel teilen.
• Anthropic sagt, Claude habe einen funktionierenden Exploit für Linux-Server mit einem Multipath-TCP-Listener geschrieben und dass es in seinem Proof of Concept 48 Minuten dauert, einen Kernel-Pointer preiszugeben, und weitere fünf Minuten, um einen Shell-Befehl auszuführen; der Exploit ist nicht veröffentlicht. Das Go Security Team merkt an, dass Go-Programme Multipath-TCP-Listener standardmäßig seit Go 1.24 aktivieren und warnt, dass Systeme ohne diesen Listener anfällig für ähnliche Angriffe sein könnten. Red Hat und AlmaLinux veröffentlichen eine Firewall-Regel, die IPv4 TCP-Pakete mit IP-Optionen verwirft, was laut Red Hat die Exposition reduziert und eine Ausnutzung nicht vollständig verhindert.

Übersetztes Transkript

Aus der englischen Originalerzählung übersetzt. Verfügbare Audio- und Untertitel werden von YouTube gesteuert.

Kalter Auftakt: Wie sagt eine WHERE-Klausel vier gleich fünf?

0:00 Eine Datenbank, die Full ACID bewirbt, soll das, was Sie schreiben, behalten. Jepsen testete eine und fand 96 Probleme, darunter eine WHERE-Klausel, die besagte, vier gleich fünf, und immer noch Zeilen zurückgab. In diesem Video, vier Geschichten. Was fand Jepsen in einer Datenbank, die Full ACID beanspruchte? Was war in einem als verschlüsselt verkauften Fingerabdruck-USB-Stick? Was baute Andrej Karpathy an einem Morgen? Und was patcht man für einen Linux-Netzwerkfehler?

0:26 Einer dieser Fehler kommt mit einer Stoppuhr. Ich werde es Ihnen am Ende vorlesen. Es ist Sonntag, der erste November, und dies ist The Daily Diff. Jepsen ist Kyle Kingsburys Testlabor. Es führt eine Datenbank durch reale Arbeitslasten und Fehler und prüft, ob die Garantien auf der Website eingehalten werden. Denken Sie an einen Inspektor, der tatsächlich den Kühlschrank öffnet.

Geschichte eins: Was fand Jepsen in ParticleDB?

0:44 Geschichte eins. Am Samstag veröffentlichte Jepsen seinen Bericht über ParticleDB, eine Rust-Datenbank von Orkes, die auf KI-Agenten abzielt. Orkes bezahlte die Arbeit. Die Startseite sagte Full ACID, einhundertneunundfünfzigtausend Transaktionen pro Sekunde. Jepsen testete ParticleDB von seinem ersten 1.1-Build bis zu einem späten Release Candidate. Die Seite nannte es formal bewiesen, mit einem TLA-Plus-Beweis. Jepsen sagt, dass während der Arbeit keine TLA-Plus-Spezifikation verfügbar war.

1:10 Unter der Zeile Full ACID sagte dieselbe Seite Snapshot-Isolation, die nicht vollständig isoliert ist. Die Fehler waren nicht subtil. Die meisten benötigten einen Server, einen Client und keine injizierten Fehler. Eine WHERE-Klausel, die vier gleich fünf sagte, gab Zeilen zurück. Eine WHERE-Klausel, die TRUE sagte, stimmte mit nichts überein. Updates hinterließen zwei Zeilen mit demselben Primärschlüssel. Die letzte von Jepsen getestete Version, Release Candidate 22,

1:36 war viel sicherer. Dennoch verlor der Standard-Transaktionsmodus bei normalem Betrieb bestätigte Schreibvorgänge. Der strengste Modus erlaubte immer noch verlorene Updates nach einem Prozess-Kill. Orkes sagt, dass die nächste Version all dies behebt. Jepsen hat sie nicht getestet. In dieser letzten Version konnte eine Datenbank, die Full ACID versprach, einen bereits bestätigten Schreibvorgang verlieren. Die Geschwindigkeit war, nehme ich an, ausgezeichnet.

2:00 Jepsens Rat ist klar. Stellen Sie die weitere Bereitstellung von ParticleDB ein und migrieren Sie so schnell wie möglich zu einer anderen Datenbank. Orkes führt dies auf ein Frühlings-Refactoring zurück und sagt, dass seine eigenen Kunden, die eine ältere Version verwendeten, wahrscheinlich nicht betroffen waren. Die Dokumentation der gespeicherten Prozeduren erfand sogar eine E-Mail-Adresse für Kyle Kingsbury. Geschichte zwei. Der Lenovo ThinkPlus FU100 ist ein Fingerabdruck-USB-Stick,

Geschichte zwei: Was war im Lenovo Fingerabdruck-USB-Stick?

2:21 der als Hardware-verschlüsselt mit AES-256 vermarktet wird. Der Sicherheitsforscher Xusheng Li zerlegte einen und fand eine gewöhnliche SD-Karte, auf der nichts verschlüsselt war. Der Fingerabdruckleser entschied nur eines: ob der Stick mit dem Computer verbunden war. Die Dateien auf der Karte hingen nie davon ab. Li meldete den Fehler im August 2025 an Lenovo. Die erste Lösung war eine Schicht Epoxidharz über der SD-Karte. Die Dateien wurden also nie verschlüsselt.

2:47 Moment, es ist nur eine SD-Karte? War es schon immer. Lenovo bewertete seine eigene Warnung als hoch. Die spätere Lösung, für den FU100 und drei verwandte Laufwerke, bedeutet einen Anruf bei einer Serviceline in China, dann entweder das Zurücksenden des Laufwerks oder ein Firmware-Upgrade vor Ort. Lenovo rät, das Laufwerk vorher zu löschen. Letzte Woche richtete Li OpenAIs Codex, zusammen mit dem Reverse-Engineering-Tool seines

3:09 Arbeitgebers, auf die USB-Schutzsoftware anderer Hersteller. Die von Netac dauerte etwa sieben Minuten, da sie einen festen Schlüssel eingebaut hatte und das Passwort in Diagnoseprotokolle schrieb. Ein Laufwerk hatte zwei versteckte Konten, die Li als Hintertüren bezeichnet. Wenn die Sicherheit eines Laufwerks die Hardware ist, überprüfen Sie es selbst. Verschlüsseln Sie die Dateien mit einer von Ihnen kontrollierten Software, bevor sie den Stick erreichen, und behandeln Sie den Fingerabdruck als Annehmlichkeit.

Geschichte drei: Was baute Karpathy an einem Morgen?

3:31 Geschichte drei, die leichte. Am Freitagabend öffnete Andrej Karpathy YouTube, sah, was er eine „enshittifizierte Wand aus Schlamm“ nannte, und beauftragte am Samstagmorgen seinen Codierungsagenten, einen Ersatz aus dem zu bauen, was Hacker News empfiehlt. Der Agent lud die Hacker News-Kommentare herunter, filterte Spam heraus, und behielt etwa vierzigtausend, die ein YouTube-Video empfehlen. Das ergab sechstausendvierhundertvierundfünfzig Videos, von 2007 bis jetzt, in hundertfünfzig Themenbereichen.

3:58 Die Website ist hackertube.org. Sie zeigt den Frame von der Hälfte der Laufzeit anstelle des vom Uploader gewählten Miniaturbildes, was ein wenig schmerzt. Karpathy sagt, der gesamte Bau dauerte etwa zwei Stunden. Seine einzigen manuellen Schritte waren ein Google API-Schlüssel, ein Server und eine Domain. Am zwölften Oktober erzählte ich Ihnen, dass Karpathy glaubt, dass Zugang und Aufgaben eine Lücke im Verständnis der Menschen für diese Tools schaffen. Zwei Stunden Arbeit sind ein ordentlicher Datenpunkt.

4:21 Geschichte vier, die zum Handeln auffordert.

Geschichte vier: Was patcht man für CVE-2026-98432?

4:23 CVE 2026, 98432 ist ein Use-after-free im IPv4 TCP-Handshake des Linux-Kernels, bewertet mit 9.8 von zehn. Ein entfernter Peer ohne Login kann ihn erreichen. Eric Dumazet schrieb den Fix am ersten Oktober. Der Fix erreichte stabile Kernel am elften und fünfzehnten Oktober, und der Bug geht auf Linux 4.4 zurück. Red Hat erhöhte seine Bewertung am dreißigsten Oktober von wichtig auf kritisch. Am Samstagabend listeten Ubuntu und Red Hat Enterprise Linux immer noch keinen gefixten Kernel.

4:52 Anthropic sagt, Claude habe einen funktionierenden Exploit für Server mit einem Multipath-TCP-Listener geschrieben, und Go-Programme haben diese standardmäßig seit Go 1.24 geöffnet. Das Go-Team warnt, dass Systeme ohne diesen Listener anfällig für ähnliche Angriffe sein könnten und sagt, dass der beste Fix ein gepatchter Kernel ist. Wenn Ihre Distribution noch keinen gefixten Kernel hat, veröffentlichen Red Hat und AlmaLinux eine Firewall-Regel, die IPv4-TCP-Pakete mit IP-Optionen verwirft. Red Hat sagt, dass dies die Exposition reduziert und sie nicht vollständig verhindern kann. Danach warten Sie.

5:23 Was heute zu tun ist. Installieren Sie den gefixten Kernel Ihrer Distribution und starten Sie neu, auch auf Container-Hosts und Kubernetes-Knoten, da Container den Host-Kernel teilen. Debian, Suse und Amazon Linux haben bereits Fixes. Wenn Sie noch nicht patchen können, beginnen Sie mit Hosts, die Multipath-TCP-Listener ausführen. Jetzt die versprochene Stoppuhr. In Anthropics eigenem Proof of Concept dauert es achtundvierzig Minuten, um einen

Zurück zur Stoppuhr: Wie lange dauerte der Exploit?

5:44 Kernel-Pointer preiszugeben, dann weitere fünf Minuten, um einen Shell-Befehl auszuführen. Anthropic hat den Exploit nicht veröffentlicht. Wenn Sie dies lieber lesen möchten, als es mich sagen zu hören, landet der Diff jeden Morgen kostenlos in Ihrem Posteingang unter thedailydiff.dev, Link unten. Das heutige Urteil ist also REVERT.

Urteil: REVERT

6:02 Ich würde ParticleDB zurücksetzen, weil Jepsens Rat ist, die Bereitstellung einzustellen, und ich würde diesen Kernel patchen, weil er mit einer Stoppuhr kommt. Und das ist der Diff für heute. Ich bin Niko von Axrisi. Verantwortungsbewusst mergen. Verantwortungsbewusst mergen.

Quellen

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas