# Informe Jepsen de ParticleDB, memoria USB con huella digital de Lenovo, HackerTube de Karpathy y el error TCP de Linux CVE-2026-98432: cuatro historias de desarrolladores en un Daily Diff

Published: 2026-11-02

Cuatro historias de desarrolladores, cada una atribuida a su fuente. El análisis de Jepsen de la base de datos ParticleDB encontró 96 problemas, incluyendo escrituras comprometidas perdidas en el modo de transacción predeterminado de la última versión que probaron, y recomienda detener la implementación; la prueba fue financiada por Orkes, que dice que su próxima versión corrige todo. Una memoria USB con huella digital Lenovo ThinkPlus FU100 vendida como cifrada AES-256 contenía una tarjeta SD ordinaria sin cifrar, según el investigador Xusheng Li, según informó Tom's Hardware. Andrej Karpathy construyó HackerTube, un sitio con 6,454 videos de YouTube recomendados en los comentarios de Hacker News, en aproximadamente dos horas. Y el CVE-2026-98432 del kernel de Linux, un uso después de liberación de TCP IPv4 con una puntuación de 9.8, necesita un kernel parcheado y un reinicio. El veredicto es REVERTIR.

Canonical: https://thedailydiff.dev/es-US/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Lo que cubre este video

- Jepsen, el laboratorio de pruebas de bases de datos dirigido por Kyle Kingsbury, publicó su análisis de ParticleDB el 31 de octubre de 2026. ParticleDB es una base de datos Rust de Orkes dirigida a agentes de IA; Orkes financió el trabajo. Jepsen probó las versiones 1.1.4 a 1.1.18.11.rc-22 en un solo nodo y presenta 96 problemas, la mayoría de los cuales necesitaron un servidor, un cliente y ninguna falla. Ejemplos en el informe: una cláusula WHERE 4 = 5 devolvió filas con clave primaria 5, WHERE TRUE no coincidió con nada, y una ACTUALIZACIÓN podría dejar varias filas con la misma clave primaria.
- La página de inicio de ParticleDB anunciaba 'ACID completo. 159K TPS.' y una prueba TLA+, pero Jepsen dice que no había ninguna especificación TLA+ disponible durante la colaboración, y el texto debajo de 'ACID completo' decía aislamiento de instantáneas. En la versión 1.1.18.11.rc-22, la última versión que Jepsen probó, el modo de transacción occ predeterminado aún perdía escrituras confirmadas durante la operación normal, y el modo serializable más estricto permitía la actualización perdida después de la eliminación de procesos. Orkes dice que la versión 1.1.19-rc.13 resuelve todos los problemas restantes; Jepsen no la ha evaluado y recomienda a los usuarios que detengan una mayor implementación de ParticleDB y migren a otras bases de datos.
- El investigador de seguridad Xusheng Li descubrió que la memoria USB con huella digital Lenovo ThinkPlus FU100, comercializada como cifrada por hardware con AES-256, contenía una tarjeta SD normal cuyos datos no estaban cifrados; el lector de huellas digitales solo activaba la conexión USB. Lo informó el 2 de agosto de 2025, y la primera solución de Lenovo fue una capa de epoxi sobre la tarjeta SD. Lenovo calificó su aviso como alto, y una solución posterior para la FU100 y las unidades relacionadas requiere llamar a una línea de servicio en China, luego un reemplazo o una actualización de firmware in situ, según Tom's Hardware.
- En un seguimiento informado por Tom's Hardware, Li usó el Codex de OpenAI con la herramienta de ingeniería inversa de su empleador contra el software de protección USB de otros fabricantes; el de Netac tardó unos siete minutos porque tenía una clave fija incorporada y escribía la contraseña en los registros de diagnóstico, y la unidad de otro proveedor tenía dos cuentas ocultas que Li llama puertas traseras. Para los datos en una memoria USB, cifre los archivos con software que usted controle antes de que lleguen al dispositivo.
- El 31 de octubre de 2026, Andrej Karpathy describió HackerTube, un sitio estilo YouTube en hackertube.org construido con su agente de codificación en aproximadamente dos horas. El agente descargó los comentarios de Hacker News, filtró el spam y conservó unos 40,000 que recomendaban un video de YouTube, lo que produjo 6,454 videos de 2007 a 2026 en 150 temas. El sitio muestra el fotograma a la marca del 50 por ciento en lugar de la miniatura subida. Karpathy enumera sus pasos manuales como una clave API de Google Cloud, un servidor y un dominio.
- CVE-2026-98432 es un uso después de liberación en el "handshake" TCP IPv4 del kernel de Linux, con una puntuación CVSS de 9.8, accesible por un par remoto sin inicio de sesión. La corrección de Eric Dumazet reemplazó dos llamadas simples a kfree con kfree\_rcu en un "commit" con fecha del 1 de octubre; los kernels estables con la corrección se enviaron el 11 y 15 de octubre, y el error se remonta a Linux 4.4. Red Hat elevó su calificación de Importante a Crítico el 30 de octubre. Ubuntu y Red Hat Enterprise Linux no enumeraron un kernel corregido el sábado por la noche, 31 de octubre. Instale el kernel corregido de su distribución y reinicie, incluidos los hosts de contenedores, porque los contenedores comparten el kernel del host.
- Anthropic dice que Claude escribió un "exploit" funcional para servidores Linux con un "listener" TCP multipath, y que en su prueba de concepto tarda 48 minutos en filtrar un puntero del kernel y cinco minutos más en ejecutar un comando de "shell"; el "exploit" no está publicado. El Go Security Team señala que los programas Go habilitan los "listeners" TCP multipath por defecto desde Go 1.24 y advierte que los sistemas sin ese "listener" pueden ser vulnerables a ataques similares. Red Hat y AlmaLinux publican una regla de "firewall" que descarta los paquetes TCP IPv4 con opciones IP, lo que, según Red Hat, reduce la exposición y no evita completamente la explotación.

## Preguntas y respuestas

### ¿Qué encontró Jepsen en la base de datos ParticleDB y qué recomienda?

El análisis de Jepsen de ParticleDB, publicado el 31 de octubre de 2026 y financiado por Orkes, presenta 96 problemas en las versiones 1.1.4 a 1.1.18.11.rc-22, incluyendo que WHERE 4 = 5 devolviera filas. En la última versión probada, el modo de transacción predeterminado aún perdía escrituras confirmadas durante la operación normal. Jepsen recomienda a los usuarios detener la implementación de ParticleDB y migrar a otras bases de datos.

### ¿La memoria USB con huella digital ThinkPlus FU100 de Lenovo estaba realmente cifrada con AES-256?

Según el investigador Xusheng Li, según informó Tom's Hardware y HackingPassion, la FU100 se comercializó como cifrada por hardware AES-256, pero contenía una tarjeta SD normal sin cifrar. El lector de huellas dactilares solo habilitaba la conexión USB. La primera solución de Lenovo fue epoxy sobre la tarjeta, y una solución posterior requiere llamar a una línea de servicio en China para un reemplazo o una actualización de firmware en el sitio.

### ¿Qué es HackerTube y cómo lo construyó Andrej Karpathy?

HackerTube en hackertube.org es un sitio estilo YouTube con 6,454 videos recomendados en los comentarios de Hacker News de 2007 a 2026, en 150 temas. La publicación de Karpathy dice que su agente de codificación descargó los comentarios, filtró el spam y mantuvo unos 40,000 que recomendaban un video, y que la construcción tarda unas dos horas. Sus pasos manuales fueron una clave API de Google Cloud, un servidor y un dominio.

### ¿Cómo soluciono el CVE-2026-98432 del kernel de Linux y qué distribuciones tienen un kernel parcheado?

Instale el kernel corregido de su distribución y reinicie, incluidos los hosts de contenedores y los nodos de Kubernetes, ya que los contenedores comparten el kernel del host. El error es un uso después de liberación de TCP IPv4 con una puntuación CVSS de 9.8, corregido "upstream" en los kernels estables el 11 y 15 de octubre. Según Atlas el 31 de octubre, Debian, SUSE y Amazon Linux tenían correcciones, mientras que Ubuntu y Red Hat Enterprise Linux no; Red Hat publica una mitigación de firewall que reduce la exposición.

### ¿Cuál fue el veredicto de The Daily Diff sobre estas cuatro historias?

El veredicto de The Daily Diff fue REVERTIR. El consejo de Jepsen sobre ParticleDB es detener la implementación y migrar, y el error del kernel de Linux CVE-2026-98432 necesita un kernel parcheado y un reinicio, con la propia prueba de concepto de Anthropic tardando 48 minutos en filtrar un puntero del kernel y cinco más en ejecutar un comando de shell.

## Capítulos

- 0:00 Abierto en frío: ¿cómo dice una cláusula where que cuatro es igual a cinco?
- 0:44 Historia uno: ¿qué encontró Jepsen en ParticleDB?
- 2:17 Historia dos: ¿qué había dentro de la memoria USB con huella digital de Lenovo?
- 3:31 Historia tres: ¿qué construyó Karpathy en una mañana?
- 4:22 Historia cuatro: ¿qué parcheas para CVE-2026-98432?
- 5:43 Volvamos al cronómetro: ¿cuánto tiempo tardó la explotación?
- 6:02 Veredicto: REVERTIR

## Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

### Abierto en frío: ¿cómo dice una cláusula where que cuatro es igual a cinco?

0:00 Se supone que una base de datos que anuncia ACID completo guarda lo que escribes. Jepsen probó una y encontró noventa y seis problemas, incluida una cláusula where que decía cuatro es igual a cinco y aún así devolvía filas. En este video, cuatro historias. ¿Qué encontró Jepsen en una base de datos que afirmaba ser ACID completo? ¿Qué había dentro de una memoria USB con huella digital vendida como cifrada? ¿Qué construyó Andrej Karpathy en una mañana? ¿Y qué parcheas para un error de red de Linux?

0:26 Uno de esos errores viene con un cronómetro. Te lo leeré al final. Es domingo, primero de noviembre, y este es The Daily Diff. Jepsen es el laboratorio de pruebas de Kyle Kingsbury. Ejecuta una base de datos a través de cargas de trabajo y fallas reales y comprueba si las garantías del sitio web se cumplen. Piensa en un inspector que realmente abre el refrigerador.

### Historia uno: ¿qué encontró Jepsen en ParticleDB?

0:44 Historia uno. El sábado, Jepsen publicó su informe sobre ParticleDB, una base de datos Rust de Orkes dirigida a agentes de IA. Orkes pagó el trabajo. La página de inicio decía ACID completo, ciento cincuenta y nueve mil transacciones por segundo. Jepsen probó ParticleDB desde su primera compilación 1.1 hasta una versión candidata tardía. El sitio la llamó formalmente probada, con una prueba TLA+. Jepsen dice que no había ninguna especificación TLA+ disponible durante el trabajo.

1:10 Debajo de la línea ACID completo, la misma página decía aislamiento de instantáneas, que no está completamente aislado. Los errores no eran sutiles. La mayoría necesitaba un servidor, un cliente y ninguna falla inyectada. Una cláusula where que decía cuatro es igual a cinco devolvía filas. Una cláusula where que decía verdadero no coincidía con nada. Las actualizaciones dejaban dos filas con la misma clave primaria. La última versión que probó Jepsen, la candidata a lanzamiento veintidós,

1:36 era mucho más segura. Aun así, el modo de transacción predeterminado perdió escrituras comprometidas durante la operación normal. El modo más estricto aún permitía actualizaciones perdidas después de una interrupción del proceso. Orkes dice que su próxima versión arregla todo esto. Jepsen no la ha probado. Así que en esa última versión, una base de datos que prometía ACID Completo podría perder una escritura que ya había comprometido. La velocidad, supongo, era excelente.

2:00 El consejo de Jepsen es claro. Detenga el despliegue de ParticleDB y migre a otra base de datos lo antes posible. Orkes culpa a una refactorización de primavera y dice que sus propios clientes, en una versión anterior, probablemente no se vieron afectados. Los documentos del procedimiento almacenado incluso inventaron una dirección de correo electrónico para Kyle Kingsbury. Historia dos. El Lenovo ThinkPlus FU cien es una memoria USB con huella digital

### Historia dos: ¿qué había dentro de la memoria USB con huella digital de Lenovo?

2:21 comercializada como cifrada por hardware con AES doscientos cincuenta y seis. El investigador de seguridad Xusheng Li desmontó uno y encontró una tarjeta SD ordinaria, sin nada cifrado en ella. El lector de huellas dactilares decidía una cosa, si la memoria se conectaba a la computadora. Los archivos de la tarjeta nunca dependían de ello. Li informó el error a Lenovo en agosto de dos mil veinticinco. La primera solución fue una capa de epoxi sobre la tarjeta SD. Así que los archivos nunca fueron cifrados.

2:47 Espera, ¿es solo una tarjeta SD? Siempre lo ha sido. Lenovo calificó su propio aviso como alto. La solución posterior, para la FU cien y tres unidades relacionadas, significa llamar a una línea de servicio en China, luego enviar la unidad de vuelta o obtener una actualización de firmware en el sitio. Lenovo aconseja borrar la unidad primero. La semana pasada, Li utilizó el Codex de OpenAI, además de la herramienta de ingeniería inversa de su empleador,

3:09 para analizar el software de protección USB de otros fabricantes. El de Netac tardó unos siete minutos, porque tenía una clave fija incorporada y escribía la contraseña en los registros de diagnóstico. Una unidad tenía dos cuentas ocultas que Li llama "backdoors" (puertas traseras). Si la seguridad de una unidad es el hardware, compruébalo tú mismo. Cifra los archivos con software que tú controles antes de que lleguen a la memoria, y trata la huella dactilar como una conveniencia.

### Historia tres: ¿qué construyó Karpathy en una mañana?

3:31 Historia tres, la ligera. El viernes por la noche, Andrej Karpathy abrió YouTube, vio lo que llamó un muro de porquería enmierdado, y el sábado por la mañana le dijo a su agente de codificación que construyera un reemplazo con lo que Hacker News recomendara. El agente descargó los comentarios de Hacker News, filtró el spam, y guardó unos cuarenta mil que recomendaban un video de YouTube. Eso dejó seis mil cuatrocientos cincuenta y cuatro videos, desde dos mil siete hasta ahora, en ciento cincuenta temas.

3:58 El sitio es hackertube punto org. Muestra el fotograma a la mitad del video en lugar de la miniatura que el que lo subió eligió, lo cual molesta un poco. Karpathy dice que toda la construcción tardó unas dos horas. Sus únicos pasos manuales fueron una clave API de Google, un servidor y un dominio. El doce de octubre les dije que Karpathy cree que el acceso y las tareas crean una brecha en cómo la gente entiende estas herramientas. Dos horas de trabajo es un buen punto de datos.

4:21 Historia cuatro, la que hay que actuar.

### Historia cuatro: ¿qué parcheas para CVE-2026-98432?

4:23 CVE dos mil veintiséis, noventa y ocho cuatrocientos treinta y dos es un uso después de liberación en el apretón de manos TCP IP v cuatro del kernel de Linux, con una puntuación de nueve punto ocho sobre diez. Un par remoto sin iniciar sesión puede alcanzarlo. Eric Dumazet escribió la corrección el primero de octubre. La corrección llegó a los kernels estables el once y el quince de octubre, y el error se remonta a Linux cuatro punto cuatro. Red Hat elevó su calificación de importante a crítica el treinta de octubre. El sábado por la noche, Ubuntu y Red Hat Enterprise Linux todavía no tenían un kernel

4:52 corregido. Anthropic dice que Claude escribió una explotación funcional para servidores con un "listener" TCP multipath, y los programas Go los han abierto por defecto desde Go uno punto veinticuatro. El equipo de Go advierte que los sistemas sin ese "listener" pueden ser vulnerables a ataques similares, y dice que la mejor solución es un kernel parcheado. Si su distribución aún no tiene un kernel corregido, Red Hat y AlmaLinux publican una regla de firewall que descarta los paquetes TCP IPv4 que llevan opciones IP. Red Hat dice que reduce la exposición y no puede prevenirla por completo. Después de eso, esperas.

5:23 Qué hacer hoy. Instale el kernel corregido de su distribución y reinicie, tanto en hosts de contenedores como en nodos de Kubernetes, porque los contenedores comparten el kernel del host. Debian, Suse y Amazon Linux ya tienen correcciones. Si aún no puede parchear, comience con los hosts que ejecutan "listeners" TCP multipath. Ahora el cronómetro que prometí. En la propia prueba de concepto de Anthropic, se tardan cuarenta y ocho minutos en filtrar un

### Volvamos al cronómetro: ¿cuánto tiempo tardó la explotación?

5:44 puntero del kernel, y luego cinco minutos más en ejecutar un comando de shell. Anthropic no ha publicado el exploit. Si prefieres leer esto que oírme decirlo, la diferencia llega a tu bandeja de entrada todas las mañanas, gratis en the daily diff punto dev, enlace abajo. Así que el veredicto de hoy es REVERTIR.

### Veredicto: REVERTIR

6:02 Yo revertiría ParticleDB, porque el consejo de Jepsen es detener la implementación, y parcharía ese kernel, porque viene con un cronómetro. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusionen con responsabilidad. Fusionen con responsabilidad.

## Fuentes

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas