ParticleDB Jepseni aruanne, Lenovo sõrmejälje-USB-pulk, Karpathy HackerTube ja Linuxi TCP viga CVE-2026-98432: neli arendaja lugu ühes Daily Diffis

Mida see video hõlmab

• Jepsen, Kyle Kingsbury juhitud andmebaaside testimise labor, avaldas oma ParticleDB analüüsi 31. oktoobril 2026. ParticleDB on Orkesi Rust-andmebaas, mis on suunatud AI-agentidele; Orkes rahastas tööd. Jepsen testis versioone 1.1.4 kuni 1.1.18.11.rc-22 ühel sõlmel ja esitab 96 probleemi, millest enamik vajas ühte serverit, ühte klienti ja rikkeid ei esinenud. Näited aruandest: WHERE 4 = 5 klausel tagastas read, millel oli primaarvõti 5, WHERE TRUE ei sobitanud midagi ja UPDATE võis jätta mitu rida sama primaarvõtmega.
• ParticleDB kodulehel reklaamiti 'Full ACID. 159K TPS.' ja TLA+ tõendit, kuid Jepsen ütleb, et koostöö käigus polnud TLA+ spetsifikatsiooni saadaval ja 'Full ACID' all olev tekst ütles hetktõmmise isolatsiooni. Versioonis 1.1.18.11.rc-22, viimases versioonis, mida Jepsen testis, kaotas vaikimisi occ-tehingurežiim tavapärase töö käigus ikkagi kinnitatud kirjutised ja kõige rangem serialiseeritav režiim lubas protsessi tapmise järel kadunud värskendusi. Orkes ütleb, et versioon 1.1.19-rc.13 lahendab kõik järelejäänud probleemid; Jepsen pole seda hinnanud ja soovitab kasutajatel ParticleDB edasise juurutamise peatada ja migreeruda teistesse andmebaasidesse.
• Turvauurija Xusheng Li leidis, et Lenovo ThinkPlus FU100 sõrmejälje-USB-pulk, mida turustati AES-256 riistvaralise krüpteeringuga, sisaldas tavalist SD-kaarti, mille andmed ei olnud krüpteeritud; sõrmejäljelugeja ainult lülitas USB-ühenduse sisse. Ta teatas sellest 2. augustil 2025 ja Lenovo esimene parandus oli epoksiidikiht SD-kaardi kohale. Lenovo hindas oma hoiatuse kõrgeks ja hilisem parandus FU100 ja sellega seotud draivide jaoks nõuab teenindusliini helistamist Hiinas, seejärel asendamist või kohapealset püsivara uuendamist, vastavalt Tom's Hardware'ile.
• Tom's Hardware'i poolt kajastatud järelraportis kasutas Li OpenAI Codexist oma tööandja pöördprojekteerimise tööriistaga teiste tootjate USB-kaitsetarkvara vastu; Netaci tarkvara võttis umbes seitse minutit, sest sellel oli sisseehitatud fikseeritud võti ja see kirjutas parooli diagnostikalogidesse, ning teise müüja draivil oli kaks peidetud kontot, mida Li nimetab tagauksedeks. USB-pulgal olevate andmete puhul krüpteerige failid tarkvaraga, mida te ise kontrollite, enne kui need seadmesse jõuavad.
• 31. oktoobril 2026 kirjeldas Andrej Karpathy HackerTube'i, YouTube'i-laadset saiti aadressil hackertube.org, mis ehitati tema koodiagendiga umbes kahe tunniga. Agent laadis alla Hacker Newsi kommentaarid, filtreeris rämpsposti ja hoidis umbes 40 000 kommentaari, mis soovitasid YouTube'i videot, andes 6454 videot aastatest 2007 kuni 2026 üle 150 teema. Sait näitab kaadrit 50% märgist, mitte üleslaaditud pisipilti. Karpathy loetleb oma käsitsi tehtud sammudena Google Cloud API võtme, serveri ja domeeni.
• CVE-2026-98432 on kasuta-pärast-vabastamist Linuxi tuuma IPv4 TCP käepigistuses, CVSS skoor 9.8, kättesaadav kaughostilt ilma sisselogimiseta. Eric Dumazeti parandus asendas kaks tavalist kfree-kutset kfree_rcu-ga 1. oktoobri kuupäevaga kinnituses; parandusega stabiilsed tuumad väljastati 11. ja 15. oktoobril ning viga pärineb Linux 4.4-st. Red Hat tõstis oma reitingu olulisest kriitiliseks 30. oktoobril. Ubuntu ja Red Hat Enterprise Linux ei loetlenud laupäeva õhtul, 31. oktoobril ühtegi parandatud tuuma. Installige oma jaotuse parandatud tuum ja taaskäivitage, sealhulgas konteineri hostid, sest konteinerid jagavad hosti tuuma.
• Anthropic ütleb, et Claude kirjutas multipath TCP kuulajaga Linuxi serveritele töötava ekspluaadi ja et nende "proof of concept" võtab tuumaosuti lekkimiseks 48 minutit ja käsurea käivitamiseks veel viis minutit; ekspluaat ei ole avaldatud. Go Security Team märgib, et Go programmid lubavad multipath TCP kuulajaid vaikimisi alates Go 1.24-st ja hoiatab, et süsteemid ilma selle kuulajata võivad olla haavatavad sarnastele rünnakutele. Red Hat ja AlmaLinux avaldavad tulemüürireegli, mis loobub IPv4 TCP pakettidest IP-võimalustega, mis Red Hati sõnul vähendab kokkupuudet ega takista täielikult ekspluateerimist.

Tõlgitud transkriptsioon

Tõlgitud ingliskeelsest originaaljutustusest. Saadaolevat heli ja subtiitreid kontrollib YouTube.

Külm avamine: kuidas WHERE-klausel ütleb, et neli võrdub viiega?

0:00 Andmebaas, mis reklaamib "Full ACID", peaks säilitama selle, mida te kirjutate. Jepsen testis ühte ja leidis üheksakümmend kuus probleemi, sealhulgas where-klausli, mis ütles neli võrdub viiega ja tagastas siiski ridu. Selles videos neli lugu. Mida leidis Jepsen andmebaasist, mis väitis end olevat "Full ACID"? Mis oli krüpteerituna müüdud sõrmejälje-USB-pulga sees? Mida ehitas Andrej Karpathy ühe hommikuga? Ja mida paigata Linuxi võrguvea jaoks?

0:26 Ühel neist vigadest on kaasas stopper. Ma loen selle teile lõpus ette. On pühapäev, esimene november, ja see on The Daily Diff. Jepsen on Kyle Kingsbury testimislabor. See käitab andmebaasi läbi reaalsete töökoormuste ja rikete ning kontrollib, kas veebisaidil antud garantiid kehtivad. Kujutage ette inspektorit, kes külmiku tegelikult avab.

Esimene lugu: mida leidis Jepsen ParticleDB-st?

0:44 Esimene lugu. Laupäeval avaldas Jepsen oma aruande ParticleDB kohta, Rust-andmebaas Orkesist, mis on suunatud AI-agentidele. Orkes maksis töö eest. Kodulehel oli kirjas Full ACID, sada viiskümmend üheksa tuhat tehingut sekundis. Jepsen testis ParticleDB-d selle esimesest 1.1 ehitusest kuni hilise väljalaskekandidaadini. Sait nimetas seda formaalselt tõestatuks, koos TLA+ tõestusega. Jepsen ütleb, et TLA+ spetsifikatsioon ei olnud töö käigus saadaval.

1:10 Real "Full ACID" all ütles sama leht hetktõmmise isolatsiooni, mis ei ole täielikult isoleeritud. Vead ei olnud peened. Enamik vajas ühte serverit, ühte klienti ja rikkeid ei süstitud. Where-klausel, mis ütles neli võrdub viiega, tagastas ridu. Where-klausel, mis ütles true, ei sobitanud midagi. Värskendused jätsid kaks rida sama primaarvõtmega. Viimane Jepseni testitud väljalase, väljalaskekandidaat kakskümmend kaks,

1:36 oli palju turvalisem. Sellest hoolimata kaotas vaikimisi tehingurežiim tavapärase töö käigus kinnitatud kirjutised. Kõige rangem režiim lubas protsessi tapmise järel siiski kadunud värskendusi. Orkes ütleb, et nende järgmine väljalase parandab kõik selle. Jepsen pole seda testinud. Seega, selles viimases versioonis võis andmebaas, mis lubas täielikku ACID-i, kaotada kirje, mille ta oli juba kinnitanud. Kiirus, ma eeldan, oli suurepärane.

2:00 Jepseni nõuanne on selge. Peatage ParticleDB edasine juurutamine ja migreeruge teise andmebaasi esimesel võimalusel. Orkes süüdistab "spring refactor" ja ütleb, et tema enda kliendid, vanemal versioonil, tõenäoliselt ei olnud mõjutatud. Salvestatud protseduuride dokumentatsioon isegi leiutas Kyle Kingsbury jaoks e-posti aadressi. Teine lugu. Lenovo ThinkPlus FU100 on sõrmejälje-USB-pulk,

Teine lugu: mis oli Lenovo sõrmejälje-USB-pulga sees?

2:21 mida turustatakse AES-256 riistvaraliselt krüpteerituna. Turvauurija Xusheng Li võttis selle lahti ja leidis tavalise SD-kaardi, millel polnud midagi krüpteeritud. Sõrmejäljelugeja otsustas vaid ühe asja, kas pulk ühendus arvutiga. Kaardil olevad failid ei sõltunud sellest kunagi. Li teatas veast Lenovole augustis kakskümmend kakskümmend viis. Esimene parandus oli epoksiidikiht SD-kaardi kohal. Seega, failid polnud kunagi krüpteeritud.

2:47 Oota, see on lihtsalt SD-kaart? Alati on olnud. Lenovo hindas oma hoiatuse kõrgeks. Hiljem parandus, FU100 ja kolme seotud draivi jaoks, tähendab Hiina teenindusliinile helistamist, seejärel kas draivi tagasi saatmist või kohapealse püsivara uuenduse saamist. Lenovo soovitab esmalt draivi pühkida. Eelmisel nädalal suunas Li OpenAI Codexist, pluss oma tööandja pöördprojekteerimise

3:09 tööriista, teiste tootjate USB-kaitsetarkvara vastu. Netaci oma võttis umbes seitse minutit, sest sellel oli sisseehitatud fikseeritud võti ja see kirjutas parooli diagnostikalogidesse. Ühel draivil oli kaks peidetud kontot, mida Li nimetab tagauksedeks. Kui draivi turvalisus on riistvaraline, kontrollige seda ise. Krüpteerige failid tarkvaraga, mida te ise kontrollite, enne kui need pulgale jõuavad, ja käsitlege sõrmejälge kui mugavust.

Kolmas lugu: mida ehitas Karpathy ühe hommikuga?

3:31 Kolmas lugu, see kerge. Reede õhtul avas Andrej Karpathy YouTube'i, nägi seda, mida ta nimetas rämpstuudioks, ja laupäeva hommikul käskis oma kodeerimisagendil ehitada asendus mis tahes põhjal, mida Hacker News soovitab. Agent laadis alla Hacker Newsi kommentaarid, filtreeris välja rämpsposti, ja hoidis umbes nelikümmend tuhat, mis soovitasid YouTube'i videot. See jättis alles kuus tuhat nelisada viiskümmend neli videot, aastast kaks tuhat seitse kuni praeguseni, sajas viiskümmend teemas.

3:58 Sait on hackertube.org. See näitab kaadrit poole pealt, mitte üleslaadija valitud pisipilti, mis natuke torkab. Karpathy ütleb, et kogu ehitus võttis umbes kaks tundi. Tema ainsad käsitsi tehtud sammud olid Google API võti, server ja domeen. Kaheteistkümnendal oktoobril rääkisin teile, et Karpathy arvates tekitavad ligipääs ja ülesanded inimeste arusaamises nendest tööriistadest lünga. Kaks tundi tööd on korralik andmepunkt.

4:21 Lugu neli, see, mille järgi tegutseda.

Neljas lugu: mida paigata CVE-2026-98432 jaoks?

4:23 CVE kaks tuhat kakskümmend kuus, üheksakümmend kaheksa neli kolmkümmend kaks on "use-after-free" Linuxi tuuma IPv4 TCP käepigistuses, hinnanguga üheksa punkti kaheksa kümnest. Kaugsüsteem ilma sisselogimiseta saab sellele juurde pääseda. Eric Dumazet kirjutas paranduse esimesel oktoobril. Parandus jõudis stabiilsetesse tuumadesse üheteistkümnendal ja viieteistkümnendal oktoobril, ja viga ulatub tagasi Linux 4.4-ni. Red Hat tõstis oma hinnangu olulisest kriitiliseks kolmekümnendal oktoobril. Laupäeva õhtul ei olnud Ubuntu ja Red Hat Enterprise Linux veel ühtegi parandatud

4:52 tuuma loetlenud. Anthropic ütleb, et Claude kirjutas multipath TCP kuulajaga serveritele töötava ekspluaadi, ja Go programmid on neid vaikimisi avanud alates Go 1.24-st. Go meeskond hoiatab, et süsteemid ilma selle kuulajata võivad olla haavatavad sarnastele rünnakutele, ja ütleb, et parim parandus on paigatud tuum. Kui teie jaotusel pole veel parandatud tuuma, avaldavad Red Hat ja AlmaLinux tulemüürireegli, mis loobub IPv4 TCP pakettidest, mis sisaldavad IP-võimalusi. Red Hat ütleb, et see vähendab kokkupuudet ja ei saa seda täielikult vältida. Pärast seda te ootate.

5:23 Mida täna teha. Installige oma jaotuse parandatud tuum ja taaskäivitage, konteinerite hostides ja Kubernetes'i sõlmedes samuti, sest konteinerid jagavad hosti tuuma. Debian, Suse ja Amazon Linuxil on juba parandused. Kui te ei saa veel paigata, alustage hostidest, mis käitavad multipath TCP kuulajaid. Nüüd see stopper, mida ma lubasin. Anthropicu enda tõestuses kulub tuumaosuti lekkimiseks nelikümmend kaheksa minutit,

Tagasi stopperi juurde: kui kaua ekspluaat aega võttis?

5:44 siis veel viis minutit shelli käsu käivitamiseks. Anthropic pole ekspluaati avaldanud. Kui te pigem loeksite seda kui kuuleksite mind seda ütlemas, siis "diff" jõuab teie postkasti igal hommikul, tasuta saidil thedailydiff.dev, link allpool. Seega, tänane otsus on REVERT.

Otsus: REVERT

6:02 Ma taastaks ParticleDB, sest Jepseni nõuanne on juurutamine peatada, ja ma paigaks selle tuuma, sest sellel on kaasas stopper. Ja see on tänane "diff". Mina olen Niko Axrisist. Ühendage vastutustundlikult. Ühendage vastutustundlikult.

Allikad

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas