Η αναφορά Jepsen της ParticleDB, το USB στικ δακτυλικών αποτυπωμάτων της Lenovo, το HackerTube του Karpathy και το σφάλμα TCP του Linux CVE-2026-98432: τέσσερις ιστορίες προγραμματιστών σε ένα Daily Diff

Τι καλύπτει αυτό το βίντεο

• Ο Jepsen, το εργαστήριο δοκιμών βάσεων δεδομένων που διευθύνεται από τον Kyle Kingsbury, δημοσίευσε την ανάλυσή του για το ParticleDB στις 31 Οκτωβρίου 2026. Το ParticleDB είναι μια βάση δεδομένων Rust από την Orkes που απευθύνεται σε πράκτορες AI. Η Orkes χρηματοδότησε την εργασία. Ο Jepsen δοκίμασε τις εκδόσεις 1.1.4 έως 1.1.18.11.rc-22 σε έναν μόνο κόμβο και παρουσιάζει 96 ζητήματα, τα περισσότερα από τα οποία χρειάζονταν έναν διακομιστή, έναν πελάτη και καμία βλάβη. Παραδείγματα στην αναφορά: μια ρήτρα WHERE 4 = 5 επέστρεψε γραμμές με πρωτεύον κλειδί 5, η WHERE TRUE δεν αντιστοιχούσε σε τίποτα και μια UPDATE θα μπορούσε να αφήσει πολλές γραμμές με το ίδιο πρωτεύον κλειδί.
• Η αρχική σελίδα του ParticleDB διαφήμιζε 'Full ACID. 159K TPS.' και μια απόδειξη TLA+, αλλά ο Jepsen λέει ότι δεν υπήρχε διαθέσιμη προδιαγραφή TLA+ κατά τη διάρκεια της συνεργασίας, και το κείμενο κάτω από το 'Full ACID' ανέφερε απομόνωση στιγμιότυπου. Στην έκδοση 1.1.18.11.rc-22, την τελευταία έκδοση που δοκίμασε ο Jepsen, η προεπιλεγμένη λειτουργία συναλλαγών occ εξακολουθούσε να χάνει δεσμευμένες εγγραφές κατά την κανονική λειτουργία, και η αυστηρότερη σειριοποιήσιμη λειτουργία επέτρεπε το Lost Update μετά από τερματισμό διεργασιών. Η Orkes λέει ότι η έκδοση 1.1.19-rc.13 επιλύει όλα τα υπόλοιπα ζητήματα. Ο Jepsen δεν την έχει αξιολογήσει και συνιστά στους χρήστες να σταματήσουν την περαιτέρω ανάπτυξη του ParticleDB και να μεταναστεύσουν σε άλλες βάσεις δεδομένων.
• Ο ερευνητής ασφαλείας Xusheng Li διαπίστωσε ότι το USB στικ δακτυλικών αποτυπωμάτων Lenovo ThinkPlus FU100, που διαφημιζόταν ως υλικολογισμικά κρυπτογραφημένο με AES-256, περιείχε μια απλή κάρτα SD της οποίας τα δεδομένα δεν ήταν κρυπτογραφημένα. Ο αναγνώστης δακτυλικών αποτυπωμάτων ενεργοποιούσε μόνο τη σύνδεση USB. Το ανέφερε στις 2 Αυγούστου 2025, και η πρώτη διόρθωση της Lenovo ήταν ένα στρώμα εποξειδικής ρητίνης πάνω από την κάρτα SD. Η Lenovo αξιολόγησε την συμβουλή της ως υψηλή, και μια μεταγενέστερη διόρθωση για το FU100 και τα σχετικά δίσκους απαιτεί την κλήση μιας γραμμής εξυπηρέτησης στην Κίνα, και στη συνέχεια αντικατάσταση ή επιτόπια αναβάθμιση υλικολογισμικού, σύμφωνα με το Tom's Hardware.
• Σε μια συνέχεια που αναφέρθηκε από το Tom's Hardware, ο Li χρησιμοποίησε το Codex της OpenAI με το εργαλείο αντίστροφης μηχανικής του εργοδότη του ενάντια σε λογισμικό προστασίας USB άλλων κατασκευαστών. Το λογισμικό της Netac χρειάστηκε περίπου επτά λεπτά επειδή είχε ένα ενσωματωμένο σταθερό κλειδί και έγραφε τον κωδικό πρόσβασης στα αρχεία διαγνωστικών, και ο δίσκος ενός άλλου προμηθευτή είχε δύο κρυφούς λογαριασμούς που ο Li αποκαλεί "backdoors". Για δεδομένα σε ένα USB στικ, κρυπτογραφήστε αρχεία με λογισμικό που ελέγχετε πριν φτάσουν στη συσκευή.
• Στις 31 Οκτωβρίου 2026, ο Andrej Karpathy περιέγραψε το HackerTube, έναν ιστότοπο τύπου YouTube στη διεύθυνση hackertube.org, που δημιουργήθηκε με τον κώδικα του πράκτορά του σε περίπου δύο ώρες. Ο πράκτορας κατέβασε σχόλια του Hacker News, φιλτράρισε το spam και κράτησε περίπου 40.000 που συνιστούσαν ένα βίντεο στο YouTube, δίνοντας 6.454 βίντεο από το 2007 έως το 2026 σε 150 θέματα. Ο ιστότοπος δείχνει το πλαίσιο στο σημείο του 50% αντί για τη μεταφορτωμένη μικρογραφία. Ο Karpathy αναφέρει τα χειροκίνητα βήματά του ως κλειδί API του Google Cloud, έναν διακομιστή και ένα domain.
• Το CVE-2026-98432 είναι ένα σφάλμα use-after-free στο handshake IPv4 TCP του πυρήνα του Linux, με βαθμολογία CVSS 9.8, προσβάσιμο από έναν απομακρυσμένο ομότιμο χωρίς σύνδεση. Η επιδιόρθωση του Eric Dumazet αντικατέστησε δύο απλές κλήσεις kfree με kfree_rcu σε ένα commit της 1ης Οκτωβρίου. Οι σταθεροί πυρήνες με την επιδιόρθωση κυκλοφόρησαν στις 11 και 15 Οκτωβρίου, και το σφάλμα υπάρχει από τον Linux 4.4. Η Red Hat ανέβασε την αξιολόγησή της από Σημαντική σε Κρίσιμη στις 30 Οκτωβρίου. Η Ubuntu και η Red Hat Enterprise Linux δεν ανέφεραν κανέναν διορθωμένο πυρήνα το Σάββατο το βράδυ, 31 Οκτωβρίου. Εγκαταστήστε τον διορθωμένο πυρήνα της διανομής σας και επανεκκινήστε, συμπεριλαμβανομένων των φιλοξενουμένων κοντέινερ, επειδή τα κοντέινερ μοιράζονται τον πυρήνα του φιλοξενουμένου.
• Η Anthropic αναφέρει ότι ο Claude έγραψε ένα λειτουργικό exploit για διακομιστές Linux με multipath TCP listener, και ότι στην απόδειξη της ιδέας της χρειάζονται 48 λεπτά για να διαρρεύσει ένας δείκτης πυρήνα και άλλα πέντε λεπτά για να εκτελέσει μια εντολή shell. Το exploit δεν έχει δημοσιευθεί. Η ομάδα ασφαλείας του Go σημειώνει ότι τα προγράμματα Go ενεργοποιούν τους multipath TCP listeners από προεπιλογή από το Go 1.24 και προειδοποιεί ότι τα συστήματα χωρίς αυτόν τον listener ενδέχεται να είναι ευάλωτα σε παρόμοιες επιθέσεις. Η Red Hat και η AlmaLinux δημοσιεύουν έναν κανόνα τείχους προστασίας που απορρίπτει τα πακέτα IPv4 TCP με επιλογές IP, ο οποίος, σύμφωνα με τη Red Hat, μειώνει την έκθεση και δεν αποτρέπει πλήρως την εκμετάλλευση.

Μεταφρασμένη μεταγραφή

Μεταφράστηκε από την πρωτότυπη αγγλική αφήγηση. Ο διαθέσιμος ήχος και οι υπότιτλοι ελέγχονται από το YouTube.

Κρύο άνοιγμα: πώς μια ρήτρα where λέει τέσσερα ίσον πέντε;

0:00 Μια βάση δεδομένων που διαφημίζει Full ACID υποτίθεται ότι διατηρεί ό,τι γράφετε. Ο Jepsen δοκίμασε μία και βρήκε ενενήντα έξι προβλήματα, συμπεριλαμβανομένης μιας ρήτρας where που έλεγε τέσσερα ίσον πέντε και εξακολουθούσε να επιστρέφει γραμμές. Σε αυτό το βίντεο, τέσσερις ιστορίες. Τι βρήκε ο Jepsen σε μια βάση δεδομένων που ισχυριζόταν Full ACID; Τι υπήρχε μέσα σε ένα USB στικ δακτυλικών αποτυπωμάτων που πωλούνταν ως κρυπτογραφημένο; Τι δημιούργησε ο Andrej Karpathy ένα πρωί; Και τι επιδιορθώνετε για ένα σφάλμα δικτύωσης του Linux;

0:26 Ένα από αυτά τα σφάλματα έρχεται με χρονόμετρο. Θα σας το διαβάσω στο τέλος. Είναι Κυριακή, πρώτη Νοεμβρίου, και αυτό είναι το The Daily Diff. Το Jepsen είναι το εργαστήριο δοκιμών του Kyle Kingsbury. Εκτελεί μια βάση δεδομένων μέσω πραγματικών φορτίων εργασίας και αστοχιών και ελέγχει αν οι εγγυήσεις στον ιστότοπο ισχύουν. Σκεφτείτε έναν επιθεωρητή που πραγματικά ανοίγει το ψυγείο.

Ιστορία ένα: τι βρήκε ο Jepsen στο ParticleDB;

0:44 Ιστορία μία. Το Σάββατο ο Jepsen δημοσίευσε την αναφορά του για το ParticleDB, μια βάση δεδομένων Rust από την Orkes που απευθύνεται σε πράκτορες AI. Η Orkes πλήρωσε για την εργασία. Η αρχική σελίδα ανέφερε Full ACID, εκατόν πενήντα εννέα χιλιάδες συναλλαγές ανά δευτερόλεπτο. Ο Jepsen δοκίμασε το ParticleDB από την πρώτη του έκδοση 1.1 έως μια μεταγενέστερη έκδοση υποψήφιας κυκλοφορίας. Ο ιστότοπος το αποκαλούσε επίσημα αποδεδειγμένο, με απόδειξη TLA plus. Ο Jepsen λέει ότι δεν υπήρχε διαθέσιμη προδιαγραφή TLA plus κατά τη διάρκεια της εργασίας.

1:10 Κάτω από τη γραμμή Full ACID, η ίδια σελίδα ανέφερε απομόνωση στιγμιότυπου, η οποία δεν είναι πλήρως απομονωμένη. Τα σφάλματα δεν ήταν λεπτά. Οι περισσότεροι χρειάζονταν έναν διακομιστή, έναν πελάτη και καμία εισαγωγή σφαλμάτων. Μια ρήτρα where που έλεγε τέσσερα ίσον πέντε επέστρεψε γραμμές. Μια ρήτρα where που έλεγε true δεν αντιστοιχούσε σε τίποτα. Οι ενημερώσεις άφησαν δύο γραμμές με το ίδιο πρωτεύον κλειδί. Η τελευταία έκδοση που δοκίμασε ο Jepsen, η έκδοση υποψήφιας κυκλοφορίας είκοσι δύο,

1:36 ήταν πολύ ασφαλέστερη. Παρόλα αυτά, η προεπιλεγμένη λειτουργία συναλλαγών έχασε δεσμευμένες εγγραφές κατά την κανονική λειτουργία. Η αυστηρότερη λειτουργία εξακολουθούσε να επιτρέπει χαμένες ενημερώσεις μετά από τερματισμό διεργασίας. Η Orkes λέει ότι η επόμενη έκδοσή της διορθώνει όλα αυτά. Ο Jepsen δεν το έχει δοκιμάσει. Έτσι, σε αυτή την τελευταία έκδοση, μια βάση δεδομένων που υποσχέθηκε Full ACID θα μπορούσε να χάσει μια εγγραφή που είχε ήδη δεσμεύσει. Η ταχύτητα, υποθέτω, ήταν εξαιρετική.

2:00 Η συμβουλή του Jepsen είναι σαφής. Σταματήστε την περαιτέρω ανάπτυξη του ParticleDB και μεταναστεύστε σε άλλη βάση δεδομένων το συντομότερο δυνατόν. Η Orkes αποδίδει την ευθύνη σε μια αναδιάρθρωση την άνοιξη και λέει ότι οι δικοί της πελάτες, σε παλαιότερη έκδοση, πιθανότατα δεν επηρεάστηκαν. Τα έγγραφα της αποθηκευμένης διαδικασίας επινόησαν ακόμη και μια διεύθυνση email για τον Kyle Kingsbury. Ιστορία δύο. Το Lenovo ThinkPlus FU εκατό είναι ένα USB στικ δακτυλικών αποτυπωμάτων

Ιστορία δύο: τι υπήρχε μέσα στο USB στικ δακτυλικών αποτυπωμάτων της Lenovo;

2:21 που διαφημίζεται ως κρυπτογραφημένο υλικολογισμικά με AES δύο πενήντα έξι. Ο ερευνητής ασφαλείας Xusheng Li το αποσυναρμολόγησε και βρήκε μια συνηθισμένη κάρτα SD, χωρίς τίποτα κρυπτογραφημένο πάνω της. Ο αναγνώστης δακτυλικών αποτυπωμάτων αποφάσιζε ένα πράγμα, αν το στικ συνδεόταν στον υπολογιστή. Τα αρχεία στην κάρτα ποτέ δεν εξαρτιόνταν από αυτό. Ο Li ανέφερε το σφάλμα στη Lenovo τον Αύγουστο του είκοσι είκοσι πέντε. Η πρώτη διόρθωση ήταν ένα στρώμα εποξειδικής ρητίνης πάνω από την κάρτα SD. Άρα τα αρχεία δεν κρυπτογραφήθηκαν ποτέ.

2:47 Περίμενε, είναι απλώς μια κάρτα SD; Πάντα ήταν. Η Lenovo αξιολόγησε την ίδια της την ανακοίνωση ως υψηλή. Η μεταγενέστερη διόρθωση, για το FU εκατό και τρεις σχετικούς δίσκους, σημαίνει ότι πρέπει να καλέσετε μια γραμμή εξυπηρέτησης στην Κίνα, και στη συνέχεια είτε να στείλετε τον δίσκο πίσω είτε να κάνετε μια επιτόπια αναβάθμιση υλικολογισμικού. Η Lenovo συμβουλεύει να διαγράψετε πρώτα τον δίσκο. Την περασμένη εβδομάδα ο Li χρησιμοποίησε το Codex της OpenAI, καθώς και το εργαλείο αντίστροφης μηχανικής του εργοδότη του,

3:09 σε λογισμικό προστασίας USB άλλων κατασκευαστών. Το λογισμικό της Netac χρειάστηκε περίπου επτά λεπτά, επειδή είχε ενσωματωμένο ένα σταθερό κλειδί και έγραφε τον κωδικό πρόσβασης στα αρχεία καταγραφής διαγνωστικών. Ένας δίσκος είχε δύο κρυφούς λογαριασμούς που ο Li αποκαλεί "backdoors". Εάν η ασφάλεια ενός δίσκου είναι το υλικό, ελέγξτε το μόνοι σας. Κρυπτογραφήστε τα αρχεία με λογισμικό που ελέγχετε πριν φτάσουν στο στικ, και αντιμετωπίστε το δακτυλικό αποτύπωμα ως ευκολία.

Ιστορία τρία: τι δημιούργησε ο Karpathy ένα πρωί;

3:31 Ιστορία τρία, η πιο ελαφριά. Το βράδυ της Παρασκευής ο Andrej Karpathy άνοιξε το YouTube, είδε αυτό που αποκάλεσε έναν "ενσιτιφωμένο τοίχο ακαθαρσιών", και το πρωί του Σαββάτου είπε στον πράκτορα κωδικοποίησής του να χτίσει μια αντικατάσταση από ό,τι προτείνει το Hacker News. Ο πράκτορας κατέβασε τα σχόλια του Hacker News, φιλτράρισε το spam, και κράτησε περίπου σαράντα χιλιάδες που συνιστούσαν ένα βίντεο YouTube. Αυτό άφησε έξι χιλιάδες τετρακόσια πενήντα τέσσερα βίντεο, από το δύο χιλιάδες επτά μέχρι σήμερα, σε εκατόν πενήντα θέματα.

3:58 Ο ιστότοπος είναι hackertube dot org. Εμφανίζει το καρέ από το μέσο του βίντεο αντί για τη μικρογραφία που επέλεξε ο ανεβάζων, που πονάει λίγο. Ο Karpathy λέει ότι η όλη κατασκευή χρειάστηκε περίπου δύο ώρες. Τα μόνα χειροκίνητα βήματά του ήταν ένα κλειδί API της Google, ένας διακομιστής και ένα domain. Στις δώδεκα Οκτωβρίου σας είπα ότι ο Karpathy πιστεύει ότι η πρόσβαση και οι εργασίες δημιουργούν ένα κενό στον τρόπο που οι άνθρωποι κατανοούν αυτά τα εργαλεία. Δύο ώρες εργασίας είναι ένα αξιοπρεπές σημείο δεδομένων.

4:21 Ιστορία τέσσερα, αυτή στην οποία πρέπει να δράσετε.

Ιστορία τέσσερα: τι διορθώνετε για το CVE-2026-98432;

4:23 Το CVE είκοσι είκοσι έξι, ενενήντα οκτώ τετρακόσια τριάντα δύο είναι ένα use-after-free στον χαιρετισμό I P v τέσσερα TCP του πυρήνα του Linux, με βαθμολογία εννέα κόμμα οκτώ στα δέκα. Μπορεί να το φτάσει ένας απομακρυσμένος ομότιμος χωρίς σύνδεση. Ο Eric Dumazet έγραψε τη διόρθωση την πρώτη Οκτωβρίου. Η διόρθωση έφτασε στους σταθερούς πυρήνες στις ενδέκατη και δέκατη πέμπτη Οκτωβρίου, και το σφάλμα χρονολογείται από τον Linux τέσσερα κόμμα τέσσερα. Η Red Hat ανέβασε την αξιολόγησή της από σημαντική σε κρίσιμη στις τριάντα Οκτωβρίου. Το Σάββατο το βράδυ, η Ubuntu και η Red Hat Enterprise Linux εξακολουθούσαν να μην αναφέρουν κανέναν διορθωμένο

4:52 πυρήνα. Η Anthropic λέει ότι ο Claude έγραψε ένα λειτουργικό exploit για διακομιστές με multipath TCP listener, και τα προγράμματα Go έχουν ανοίξει αυτά από προεπιλογή από το Go ένα κόμμα είκοσι τέσσερα. Η ομάδα του Go προειδοποιεί ότι συστήματα χωρίς αυτόν τον listener ενδέχεται να είναι ευάλωτα σε παρόμοιες επιθέσεις, και λέει ότι η καλύτερη διόρθωση είναι ένας ενημερωμένος πυρήνας. Εάν η διανομή σας δεν έχει ακόμα έναν διορθωμένο πυρήνα, η Red Hat και η AlmaLinux δημοσιεύουν έναν κανόνα τείχους προστασίας που απορρίπτει πακέτα I P v τέσσερα TCP που φέρουν επιλογές IP. Η Red Hat λέει ότι μειώνει την έκθεση και δεν μπορεί να την αποτρέψει πλήρως.

5:23 Μετά από αυτό, περιμένετε. Τι να κάνετε σήμερα. Εγκαταστήστε τον διορθωμένο πυρήνα της διανομής σας και επανεκκινήστε, στους κεντρικούς υπολογιστές κοντέινερ και στους κόμβους Kubernetes επίσης, επειδή τα κοντέινερ μοιράζονται τον πυρήνα του κεντρικού υπολογιστή. Οι Debian, Suse και Amazon Linux έχουν ήδη διορθώσεις. Εάν δεν μπορείτε να εφαρμόσετε την ενημέρωση ακόμα, ξεκινήστε με τους υπολογιστές που εκτελούν multipath TCP listeners. Τώρα το χρονόμετρο που υποσχέθηκα.

Πίσω στο χρονόμετρο: πόσο χρόνο χρειάστηκε το exploit;

5:44 Στην απόδειξη της ιδέας της Anthropic, χρειάζονται σαράντα οκτώ λεπτά για να διαρρεύσει ένας δείκτης πυρήνα, και στη συνέχεια άλλα πέντε λεπτά για να εκτελεστεί μια εντολή shell. Η Anthropic δεν έχει δημοσιεύσει το exploit. Αν προτιμάτε να το διαβάσετε αντί να με ακούσετε να το λέω, το diff φτάνει στα εισερχόμενά σας κάθε πρωί, δωρεάν στο the daily diff dot dev, σύνδεσμος παρακάτω.

Ετυμηγορία: REVERT

6:02 Έτσι η σημερινή ετυμηγορία είναι REVERT. Θα ανέστρεφα το ParticleDB, επειδή η συμβουλή του Jepsen είναι να σταματήσει η ανάπτυξη, και θα επιδιόρθωνα αυτόν τον πυρήνα, επειδή έρχεται με ένα χρονόμετρο. Και αυτή είναι η διαφορά για σήμερα. Είμαι ο Νίκος από την Axrisi. Συγχωνεύστε υπεύθυνα.

Πηγές

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas