# ParticleDBren Jepsen txostena, Lenovoren hatz-marka USB memoria, Karpathyren HackerTube eta Linux TCP CVE-2026-98432 akatsa: lau garatzaile-istorio The Daily Diff batean

Published: 2026-11-02

Lau garatzaile-istorio, bakoitza bere iturriari egotzita. Jepsenek ParticleDB datu-basearen analisian 96 arazo aurkitu zituen, azken bertsio probatuaren transakzio modu lehenetsian konprometitutako idazketa galduak barne, eta inplementazioa etetea gomendatzen du; proba Orkesek finantzatu zuen, eta honek dio hurrengo bertsioak dena konpontzen duela. Xusheng Li ikertzaileak, Tom's Hardwarek jakinarazi duenez, AES-256 enkriptatua bezala saldutako Lenovo ThinkPlus FU100 hatz-marka USB memoria batek SD txartel arrunt bat zuen, ezer enkriptatu gabe. Andrej Karpathyk HackerTube sortu zuen, Hacker News iruzkinetan gomendatutako 6.454 YouTube bideo biltzen dituen webgune bat, bi ordu inguruan. Eta Linux kernel CVE-2026-98432, IPv4 TCP use-after-free akats bat, 9.8 puntuazioa duena, kernel adabakitua eta berrabiaraztea behar ditu. Epaia REVERT da.

Canonical: https://thedailydiff.dev/eu/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Bideo honek zer jorratzen duen

- Jepsen, Kyle Kingsburyk zuzentzen duen datu-baseak probatzeko laborategiak, ParticleDBren analisia argitaratu zuen 2026ko urriaren 31n. ParticleDB Orkesen Rust datu-base bat da, AI agenteetara zuzenduta; Orkesek finantzatu zuen lana. Jepsenek 1.1.4tik 1.1.18.11.rc-22ra bitarteko bertsioak probatu zituen nodo bakar batean eta 96 arazo aurkeztu zituen, gehienek zerbitzari bat, bezero bat eta akatsik ez zutelarik behar. Txostenean adibideak: WHERE 4 = 5 klausula batek gako primarioa 5 zuten errenkadak itzuli zituen, WHERE TRUE klausulak ezer ez zuen bat etorri, eta UPDATE batek errenkada anitz utz zitzakeen gako primario berarekin.
- ParticleDBren hasierako orriak 'ACID osoa. 159K TPS.' eta TLA+ froga bat iragartzen zituen, baina Jepsenek dio ez zegoela TLA+ zehaztapenik eskuragarri lankidetzan zehar, eta 'ACID osoa' testuak snapshot isolamendua aipatzen zuela. Jepsenek probatu zuen azken bertsioan, 1.1.18.11.rc-22, occ transakzio modu lehenetsiak oraindik konprometitutako idazketak galdu zituen operazio normalean, eta serializagarri modurik zorrotzenak eguneratze galduak onartzen zituen prozesu hilketen ondoren. Orkesek dio 1.1.19-rc.13 bertsioak gainerako arazo guztiak konpontzen dituela; Jepsenek ez du ebaluatu eta erabiltzaileei gomendatzen die ParticleDBren inplementazio gehiago etetea eta beste datu-base batzuetara migratzea.
- Xusheng Li segurtasun ikertzaileak aurkitu zuen Lenovo ThinkPlus FU100 hatz-marka USB memoria, AES-256rekin hardware bidez enkriptatua bezala merkaturatua, SD txartel arrunt bat zuela, eta bertako datuak ez zirela enkriptatzen; hatz-marka irakurgailuak USB konexioa soilik pizten zuen. Hori 2025eko abuztuaren 2an jakinarazi zuen, eta Lenovoren lehen konponbidea SD txartelaren gainean epoxi geruza bat jartzea izan zen. Lenovok bere aholkua "altua" gisa baloratu zuen, eta FU100 eta erlazionatutako unitateentzako geroko konponbide batek Txinako zerbitzu-linea batera deitzea eskatzen du, ondoren ordezkatzea edo in situ firmware eguneratzea, Tom's Hardwarek jakinarazi duenez.
- Tom's Hardwarek jakinarazitako jarraipen batean, Lik OpenAIren Codex erabili zuen bere enpresaren alderantzizko ingeniaritzako tresnarekin beste fabrikatzaile batzuen USB babes-softwarearen aurka; Netacenak zazpi minutu inguru behar izan zituen, gako finko bat barneratuta zuelako eta pasahitza diagnostiko-erregistroetara idazten zuelako, eta beste saltzaile baten unitateak ezkutuko bi kontu zituen, Lik atzeko ateak deitzen dituenak. USB memoria bateko datuetarako, enkriptatu fitxategiak kontrolatzen duzun softwarearekin, gailura iritsi aurretik.
- 2026ko urriaren 31n, Andrej Karpathyk HackerTube deskribatu zuen, hackertube.org helbideko YouTube estiloko gune bat, bere kodeketa agentearekin bi ordu inguruan eraiki zuena. Agenteak Hacker News iruzkinak deskargatu zituen, spama iragazi eta YouTube bideo bat gomendatzen zuten 40.000 inguru mantendu zituen, 2007tik 2026ra bitarteko 6.454 bideo lortuz 150 gaietan zehar. Guneak %50eko markako fotograma erakusten du kargatutako miniatura beharrean. Karpathyk bere eskuzko urratsak Google Cloud API gako bat, zerbitzari bat eta domeinu bat bezala zerrendatzen ditu.
- CVE-2026-98432 Linux kernelaren IPv4 TCP eskuz eskua prozesuaren use-after-free akats bat da, CVSS 9.8 puntuazioa duena, urruneko pare batek loginik gabe eskura dezakeena. Eric Dumazet-ek "kfree" deia bi "kfree\_rcu" deiengatik aldatu zuen urriaren 1eko commit batean; konponketa zuten kernel egonkorrak urriaren 11n eta 15ean argitaratu ziren, eta akatsa Linux 4.4ra doa. Red Hat-ek bere balorazioa Garrantzitsutik Kritikora igo zuen urriaren 30ean. Ubuntu eta Red Hat Enterprise Linux-ek ez zuten kernel finkorik zerrendatu larunbat arratsaldean, urriaren 31n. Instalatu zure distribuzioaren kernel finkoa eta berrabiarazi, edukiontzien ostalariak barne, edukiontziek ostalariaren kernel bera partekatzen baitute.
- Anthropic-ek dio Claudek funtzionatzen duen exploit bat idatzi zuela Multipath TCP entzulea duten Linux zerbitzarietarako, eta bere frogapenean 48 minutu behar direla kernel pointer bat filtratzeko eta beste bost minutu shell komando bat exekutatzeko; exploita ez dago argitaratuta. Go Security Team-ak adierazi du Go programek Multipath TCP entzuleak lehenetsita gaitzen dituztela Go 1.24tik aurrera eta ohartarazten du entzule hori ez duten sistemak antzeko erasoen aurrean zaurgarriak izan daitezkeela. Red Hat-ek eta AlmaLinux-ek suebaki-arau bat argitaratu dute, IPv4 TCP paketeak IP aukerekin botatzen dituena, Red Hat-en arabera esposizioa murrizten duena eta ustiapena guztiz ekiditen ez duena.

## Galderak eta erantzunak

### Zer aurkitu zuen Jepsenek ParticleDB datu-basean, eta zer gomendatzen du?

Jepsenek ParticleDBren analisia, 2026ko urriaren 31n argitaratua eta Orkesek finantzatua, 96 arazo aurkezten ditu 1.1.4tik 1.1.18.11.rc-22ra bitarteko bertsioetan, WHERE 4 = 5 errenkadak itzultzen barne. Probatu zen azken bertsioan, transakzio modu lehenetsiak oraindik konprometitutako idazketak galdu zituen operazio normalean. Jepsenek erabiltzaileei gomendatzen die ParticleDBren inplementazio gehiago etetea eta beste datu-base batzuetara migratzea.

### Lenovoren ThinkPlus FU100 hatz-marka USB memoria benetan AES-256 enkriptatua zegoen?

Xusheng Li ikertzailearen arabera, Tom's Hardwarek eta HackingPassionek jakinarazi dutenez, FU100 AES-256 hardware bidez enkriptatua bezala merkaturatu zen, baina SD txartel arrunt bat zuen, ezer enkriptatu gabe. Hatz-marka irakurgailuak USB konexioa soilik gaitzen zuen. Lenovoren lehen konponbidea txartelaren gaineko epoxi izan zen, eta geroko konponbide batek Txinako zerbitzu-linea batera deitzea eskatzen du ordezkapen baterako edo in situ firmware eguneratze baterako.

### Zer da HackerTube eta nola eraiki zuen Andrej Karpathyk?

HackerTube hackertube.org helbidean YouTube estiloko gune bat da, Hacker News iruzkinetan gomendatutako 2007tik 2026ra bitarteko 6.454 bideo biltzen dituena, 150 gaietan zehar. Karpathyren argitalpenak dio bere kodeketa agenteak iruzkinak deskargatu zituela, spama iragazi eta bideo bat gomendatzen zuten 40.000 inguru mantendu zituela, eta eraikuntzak bi ordu inguru behar dituela. Bere eskuzko urratsak Google Cloud API gako bat, zerbitzari bat eta domeinu bat izan ziren.

### Nola konpondu dezaket Linux kernel CVE-2026-98432, eta zein distribuzioek dute kernel adabakitua?

Instalatu zure distribuzioaren kernel finkoa eta berrabiarazi, edukiontzien ostalariak eta Kubernetes nodoak barne, edukiontziek ostalari kernel bera partekatzen baitute. Akatsa IPv4 TCP use-after-free bat da, CVSS 9.8 puntuazioa duena, urriaren 11n eta 15ean kernel egonkorretan konponduta. Atlasen arabera, urriaren 31n, Debianek, SUSEk eta Amazon Linuxek konponketak zituzten, eta Ubuntuk eta Red Hat Enterprise Linuxek ez; Red Hat-ek suebaki arintze bat argitaratzen du, esposizioa murrizten duena.

### Zein izan zen The Daily Diff-en epaia lau istorio hauen inguruan?

The Daily Diff-en epaia REVERT izan zen. Jepsenen aholkua ParticleDBri buruz inplementazioa etetea eta migratzea da, eta Linux CVE-2026-98432 kernel akatsak kernel adabakitua eta berrabiaraztea behar ditu, Anthropic-en frogapen kontzeptu propioak 48 minutu behar baititu kernel pointer bat filtratzeko eta beste bost shell komando bat exekutatzeko.

## Kapituluak

- 0:00 Hasiera: nola esaten du where klausula batek lau berdin bost?
- 0:44 Lehen istorioa: zer aurkitu zuen Jepsenek ParticleDBn?
- 2:17 Bigarren istorioa: zer zegoen Lenovoren hatz-marka USB memoriaren barruan?
- 3:31 Hirugarren istorioa: zer eraiki zuen Karpathyk goiz batean?
- 4:22 Laugarren istorioa: zer adabaki behar duzu CVE-2026-98432rako?
- 5:43 Kronometrora itzuli: zenbat denbora behar izan zuen exploitek?
- 6:02 Epaia: REVERT

## Itzulitako transkripzioa

Jatorrizko ingelesezko narraziotik itzulia. Eskuragarri dauden audioa eta azpitituluak YouTube-k kontrolatzen ditu.

### Hasiera: nola esaten du where klausula batek lau berdin bost?

0:00 ACID osoa iragartzen duen datu-base batek idazten duzuna gorde beharko luke. Jepsenek bat probatu zuen eta laurogeita sei arazo aurkitu zituen, where klausula bat barne lau berdin bost esaten zuena eta oraindik errenkadak itzultzen zituena. Bideo honetan, lau istorio. Zer aurkitu zuen Jepsenek ACID osoa aldarrikatzen zuen datu-base batean? Zer zegoen enkriptatua bezala saldutako hatz-marka USB memoria baten barruan? Zer eraiki zuen Andrej Karpathyk goiz batean? Eta zer adabaki behar duzu Linuxeko sare-akats baterako?

0:26 Akats horietako bat kronometro batekin dator. Amaieran irakurriko dizut. Igandea da, azaroak lehena, eta hau The Daily Diff da. Jepsen Kyle Kingsburyren proba-laborategia da. Datu-base bat benetako lan-kargen eta akatsen bidez exekutatzen du eta webguneko bermeak betetzen diren egiaztatzen du. Pentsa hozkailua benetan irekitzen duen ikuskatzaile bat.

### Lehen istorioa: zer aurkitu zuen Jepsenek ParticleDBn?

0:44 Lehen istorioa. Larunbatean Jepsenek ParticleDBri buruzko txostena argitaratu zuen, Orkesen Rust datu-base bat, AI agenteetara zuzenduta. Orkesek ordaindu zuen lana. Hasierako orriak ACID osoa zioen, ehun eta berrogeita hemeretzi mila transakzio segundoko. Jepsenek ParticleDB probatu zuen bere lehen 1.1 bertsioa eraikitzen zenetik berandu arte, bertsio hautagaia arte. Guneak formalki frogatutzat jo zuen, TLA plus froga batekin. Jepsenek dio ez zegoela TLA plus zehaztapenik eskuragarri lanean zehar.

1:10 ACID osoa lerroaren azpian, orrialde berak snapshot isolamendua zioen, ez dagoena guztiz isolatuta. Akatsak ez ziren sotilak. Gehienek zerbitzari bat, bezero bat eta injektatutako akatsik ez zuten behar. Lau berdin bost zioen where klausula batek errenkadak itzuli zituen. True zioen where klausula batek ezer ez zuen bat etorri. Eguneratzeek bi errenkada utzi zituzten gako primario berarekin. Jepsenek probatu zuen azken bertsioa, hogeita bi bertsio hautagaia,

1:36 askoz seguruagoa zen. Hala ere, transakzio modu lehenetsiak konprometitutako idazketak galdu zituen operazio normalean. Modu zorrotzenak oraindik eguneratze galduak ahalbidetzen zituen prozesu baten heriotzaren ondoren. Orkesek dio bere hurrengo bertsioak hau guztia konponduko duela. Jepsenek ez du probatu. Beraz, azken bertsio horretan ACID osoa agintzen zuen datu-base batek jadanik konprometituta zegoen idazketa bat galdu zezakeen. Abiadura, suposatzen dut, bikaina zen. Jepsenen aholkua argia da.

2:00 Geldiarazi ParticleDBren inplementazio gehiago eta migratu beste datu-base batera ahalik eta azkarren. Orkesek udaberriko birkonfigurazio bati leporatzen dio errua eta dio bere bezeroak, bertsio zahar batean, ziurrenik ez zirela kaltetuak izan. Gordetako prozeduren dokumentazioan Kyle Kingsburyrentzat helbide elektroniko bat ere asmatu zuten. Bigarren istorioa. Lenovo ThinkPlus FU ehun bat hatz-marka USB memoria bat da, hardware bidez AES berrehun eta berrogeita seirekin enkriptatua bezala merkaturatua.

### Bigarren istorioa: zer zegoen Lenovoren hatz-marka USB memoriaren barruan?

2:21 Xusheng Li segurtasun ikertzaileak bat desmuntatu zuen eta SD txartel arrunt bat aurkitu zuen, bertan ezer enkriptatu gabe. Hatz-marka irakurgailuak gauza bakarra erabakitzen zuen, memoria ordenagailura konektatzen zen ala ez. Txarteleko fitxategiak ez ziren inoiz horren menpekoak izan. Lik akatsa Lenovori jakinarazi zion bi mila hogeita bosteko abuztuan. Lehen konponbidea SD txartelaren gainean epoxi geruza bat jartzea izan zen. Beraz, fitxategiak ez ziren inoiz enkriptatu. Itxaron, SD txartel bat besterik ez da?

2:47 Betidanik izan da. Lenovok bere aholkua altua gisa baloratu zuen. Geroagoko konponbideak, FU ehunarentzat eta hiru unitate erlazionaturentzat, Txinan zerbitzu-linea batera deitzea esan nahi du, ondoren unitatea bidaltzea edo in situ firmware eguneratze bat lortzea. Lenovok unitatea lehenik garbitzea gomendatzen du. Joan den astean Lik OpenAIren Codex, gehi bere enpresaren alderantzizko ingeniaritza tresna, beste fabrikatzaile batzuen USB babes softwarearen aurka erabili zituen.

3:09 Netacenak zazpi minutu inguru behar izan zituen, gako finko bat barneratuta zuelako eta pasahitza diagnostiko erregistroetara idazten zuelako. Unitate batek ezkutuko bi kontu zituen, Lik atzeko ateak deitzen dituenak. Unitate baten segurtasuna hardwarea bada, egiaztatu zuk zeuk. Enkriptatu fitxategiak kontrolatzen duzun softwarearekin makilara iritsi aurretik, eta tratatu hatz-marka erosotasun gisa. Hirugarren istorioa, arina.

### Hirugarren istorioa: zer eraiki zuen Karpathyk goiz batean?

3:31 Ostiral gauean Andrej Karpathyk YouTube ireki zuen, "zikindutako zabor-horma" deitu zuena ikusi zuen, eta larunbat goizean bere kodeketa agentea jarri zuen Hacker News-ek gomendatzen zuena erabiliz ordezko bat eraikitzen. Agenteak Hacker News-eko iruzkinak deskargatu zituen, spama iragazi zuen, eta YouTube bideo bat gomendatzen zuten berrogei mila inguru mantendu zituen. Hori dela eta, sei mila laurehun eta berrogeita hamalau bideo geratu ziren, bi mila zazpitik gaur arte, ehun eta berrogeita hamar gaietan. Gunea hackertube.org da.

3:58 Erdibideko markatik ateratako fotograma erakusten du kargatzaileak aukeratutako miniatura beharrean, eta horrek min pixka bat egiten du. Karpathyk dio eraikuntza osoak bi ordu inguru behar izan zituela. Bere eskuzko urrats bakarrak Google API gako bat, zerbitzari bat eta domeinu bat izan ziren. Urriaren hamabian esan nizun Karpathyk uste duela sarbideak eta zereginak hutsune bat sortzen dutela jendeak tresna hauek nola ulertzen dituen. Bi orduko lana datu-puntu duina da. Laugarren istorioa, ekintzara pasatzeko bat.

4:21 CVE bi mila hogeita sei, laurogeita zortzi mila laurehun eta hogeita hamabi bat use-after-free akats bat da

### Laugarren istorioa: zer adabaki behar duzu CVE-2026-98432rako?

4:23 Linux kernelaren IPv4 TCP eskuz eskua prozesuan, hamarretik bederatzi puntu zortzi baloratua. Urruneko pare batek, loginik gabe, eskura dezake. Eric Dumazetek konponketa urriaren lehenean idatzi zuen. Konponketa kernel egonkorretara urriaren hamaikan eta hamabostean iritsi zen, eta akatsa Linux lau puntura arte doa. Red Hat-ek bere balorazioa garrantzitsutik kritikora igo zuen urriaren hogeita hamarrean. Larunbat arratsaldean, Ubuntuk eta Red Hat Enterprise Linuxek oraindik ez zuten zerrendatu kernel finkorik. kernel bat.

4:52 Anthropic-ek dio Claudek Multipath TCP entzulea duten zerbitzarietarako exploit funtzional bat idatzi zuela, eta Go programek lehenetsita ireki dituztela horiek Go bat puntu hogeita lau bertsiotik aurrera. Go taldeak ohartarazten du entzule hori ez duten sistemak antzeko erasoen aurrean zaurgarriak izan daitezkeela, eta dio konponbiderik onena kernel adabakidun bat dela. Zure distribuzioak oraindik kernel finkorik ez badu, Red Hat-ek eta AlmaLinux-ek suebaki-arau bat argitaratu dute, IPv4 TCP paketeak IP aukerak dituztenak baztertzen dituena. Red Hat-ek dio esposizioa murrizten duela eta ezin duela guztiz ekidin. Horren ondoren, itxaron.

5:23 Zer egin gaur. Instalatu zure distribuzioaren kernel finkoa eta berrabiarazi, edukiontzien ostalarietan eta Kubernetes nodoetan ere, edukiontziek ostalariaren kernel bera partekatzen baitute. Debianek, Susek eta Amazon Linuxek dagoeneko dituzte konponketak. Oraindik ezin baduzu adabakirik jarri, hasi Multipath TCP entzuleak exekutatzen dituzten ostalarietan. Orain agindutako kronometroa. Anthropic-en frogapen kontzeptu propioan, berrogeita zortzi minutu behar dira

### Kronometrora itzuli: zenbat denbora behar izan zuen exploitek?

5:44 kernel pointer bat filtratzeko, eta gero beste bost minutu shell komando bat exekutatzeko. Anthropic-ek ez du exploita argitaratu. Hau irakurri nahiago baduzu entzun baino, diffa zure sarrera-ontzira iristen da goizero, doan daily diff dot dev helbidean, beheko esteka. Beraz, gaurko epaia REVERT da.

### Epaia: REVERT

6:02 ParticleDB desegin nuke, Jepsenen aholkua inplementazioa etetea baita, eta kernel hori adabakitu nuke, kronometro batekin baitator. Eta hori da gaurko diffa. Axrisiko Niko naiz. Batu arduraz. Batu arduraz.

## Iturriak

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas