گزارش جپسن از ParticleDB، فلش مموری اثر انگشتی لنوو، هکرتیوب کارپاتی و باگ TCP لینوکس CVE-2026-98432: چهار داستان توسعه‌دهنده در یک Daily Diff

این ویدیو چه مواردی را پوشش می‌دهد

• جپسن، آزمایشگاه تست پایگاه داده تحت مدیریت کایل کینگزبری، تحلیل خود را از ParticleDB در تاریخ ۳۱ اکتبر ۲۰۲۶ منتشر کرد. ParticleDB یک پایگاه داده Rust از Orkes است که برای عوامل هوش مصنوعی طراحی شده است؛ Orkes این کار را تأمین مالی کرد. جپسن نسخه‌های ۱.۱.۴ تا ۱.۱.۱۸.۱۱.rc-22 را بر روی یک گره تنها آزمایش کرد و ۹۶ مشکل را ارائه داد که بیشتر آنها به یک سرور، یک کلاینت و بدون خطا نیاز داشتند. مثال‌هایی در گزارش: یک بند WHERE 4 = 5 ردیف‌هایی با کلید اصلی ۵ را برگرداند، WHERE TRUE هیچ چیز را مطابق با آن نیافت، و یک UPDATE می‌توانست چندین ردیف با یک کلید اصلی مشابه را باقی بگذارد.
• صفحه اصلی ParticleDB 'Full ACID. 159K TPS.' و یک اثبات TLA+ را تبلیغ می‌کرد، اما جپسن می‌گوید هیچ مشخصات TLA+ در طول همکاری در دسترس نبود، و متن زیر 'Full ACID' به جداسازی اسنپ‌شات اشاره داشت. در ۱.۱.۱۸.۱۱.rc-22، آخرین نسخه‌ای که جپسن آزمایش کرد، حالت تراکنش پیش‌فرض در حین عملیات عادی همچنان نوشته‌های ثبت شده را از دست می‌داد، و حالت سخت‌گیرانه‌تر serializable اجازه بروزرسانی گمشده را پس از کشتن فرآیندها می‌داد. Orkes می‌گوید نسخه ۱.۱.۱۹-rc.13 تمام مسائل باقی‌مانده را حل می‌کند؛ جپسن آن را ارزیابی نکرده و توصیه می‌کند که کاربران استقرار بیشتر ParticleDB را متوقف کرده و به پایگاه‌های داده دیگر مهاجرت کنند.
• محقق امنیتی Xusheng Li دریافت که فلش مموری اثر انگشتی Lenovo ThinkPlus FU100، که به عنوان سخت‌افزار رمزگذاری شده با AES-256 به بازار عرضه شده بود، حاوی یک کارت SD معمولی بود که داده‌های آن رمزگذاری نشده بودند؛ حسگر اثر انگشت فقط اتصال USB را روشن می‌کرد. او این موضوع را در تاریخ ۲ اوت ۲۰۲۵ گزارش کرد، و اولین راه حل لنوو یک لایه اپوکسی روی کارت SD بود. لنوو توصیه‌نامه خود را بالا ارزیابی کرد، و یک راه حل بعدی برای FU100 و درایوهای مرتبط نیاز به تماس با خط خدمات در چین، سپس جایگزینی یا ارتقاء فریمور در محل، طبق گزارش Tom's Hardware، دارد.
• در یک گزارش پیگیری از Tom's Hardware، لی از Codex OpenAI به همراه ابزار مهندسی معکوس کارفرمای خود علیه نرم‌افزار محافظت USB سایر سازندگان استفاده کرد؛ نرم‌افزار Netac حدود هفت دقیقه طول کشید زیرا یک کلید ثابت داخلی داشت و رمز عبور را در گزارش‌های تشخیصی می‌نوشت، و درایو یک فروشنده دیگر دو حساب پنهان داشت که لی آن‌ها را بک‌دور می‌نامد. برای داده‌های روی فلش مموری، قبل از اینکه به دستگاه برسند، فایل‌ها را با نرم‌افزاری که کنترل می‌کنید، رمزگذاری کنید.
• در تاریخ ۳۱ اکتبر ۲۰۲۶ آندری کارپاتی HackerTube را توصیف کرد، یک سایت به سبک یوتیوب در hackertube.org که با عامل کدنویسی او در حدود دو ساعت ساخته شد. این عامل نظرات Hacker News را دانلود کرد، اسپم را فیلتر کرد و حدود ۴۰,۰۰۰ مورد را که یک ویدیوی یوتیوب را توصیه می‌کردند، نگه داشت، که منجر به ۶,۴۵۴ ویدیو از سال ۲۰۰۷ تا ۲۰۲۶ در ۱۵۰ موضوع شد. این سایت به جای تصویر بندانگشتی آپلود شده، فریم را در علامت ۵۰ درصد نشان می‌دهد. کارپاتی مراحل دستی خود را به عنوان یک کلید API گوگل کلود، یک سرور و یک دامنه لیست می‌کند.
• CVE-2026-98432 یک use-after-free در handshake TCP IPv4 کرنل لینوکس است که امتیاز CVSS 9.8 را دارد و توسط یک همتای راه دور بدون نیاز به ورود قابل دسترسی است. راه حل اریک دومازه، دو فراخوانی ساده kfree را با kfree_rcu در یک کامیت با تاریخ اول اکتبر جایگزین کرد؛ کرنل‌های پایدار با این اصلاح در ۱۱ و ۱۵ اکتبر عرضه شدند و این باگ به لینوکس ۴.۴ بازمی‌گردد. رد هت رتبه خود را از Important به Critical در ۳۰ اکتبر افزایش داد. اوبونتو و Red Hat Enterprise Linux در عصر شنبه، ۳۱ اکتبر، هیچ کرنل اصلاح شده‌ای را لیست نکردند. کرنل اصلاح شده توزیع خود را نصب کرده و راه‌اندازی مجدد کنید، از جمله میزبان‌های کانتینر، زیرا کانتینرها کرنل میزبان را به اشتراک می‌گذارند.
• Anthropic می‌گوید Claude یک اکسپلویت کارا برای سرورهای لینوکس با شنونده TCP چندمسیری نوشت و در اثبات مفهوم خود، ۴۸ دقیقه طول می‌کشد تا یک نشانگر کرنل را فاش کند و پنج دقیقه دیگر برای اجرای یک دستور شل؛ اکسپلویت منتشر نشده است. تیم امنیتی Go اشاره می‌کند که برنامه‌های Go از نسخه ۱.۲۴ به طور پیش‌فرض شنونده‌های TCP چندمسیری را فعال می‌کنند و هشدار می‌دهد که سیستم‌هایی بدون این شنونده ممکن است در برابر حملات مشابه آسیب‌پذیر باشند. رد هت و AlmaLinux یک قانون فایروال منتشر کرده‌اند که بسته‌های TCP IPv4 با گزینه‌های IP را حذف می‌کند، که رد هت می‌گوید این کار میزان در معرض خطر بودن را کاهش می‌دهد و به طور کامل از بهره‌برداری جلوگیری نمی‌کند.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

افتتاحیه سرد: چگونه یک بند 'where' می‌گوید چهار برابر با پنج است؟

0:00 یک پایگاه داده که Full ACID را تبلیغ می‌کند، قرار است آنچه را که می‌نویسید حفظ کند. جپسن یکی را آزمایش کرد و نود و شش مشکل پیدا کرد، از جمله یک بند 'where' که می‌گفت چهار برابر با پنج است و همچنان ردیف‌ها را برمی‌گرداند. در این ویدیو، چهار داستان. جپسن در یک پایگاه داده که ادعای Full ACID داشت، چه یافت؟ داخل یک فلش مموری اثر انگشتی که به عنوان رمزگذاری شده فروخته می‌شد، چه بود؟ آندری کارپاتی در یک صبح چه ساخت؟ و برای یک باگ شبکه لینوکس چه چیزی را پچ می‌کنید؟

0:26 یکی از این باگ‌ها با یک زمان‌سنج می‌آید. در پایان آن را برایتان می‌خوانم. امروز یکشنبه، اول نوامبر است و این Daily Diff است. جپسن آزمایشگاه تست کایل کینگزبری است. این آزمایشگاه یک پایگاه داده را از طریق بار کاری و خرابی‌های واقعی اجرا می‌کند و بررسی می‌کند که آیا تضمین‌های موجود در وب‌سایت حفظ می‌شوند یا خیر. یک بازرس را تصور کنید که واقعاً یخچال را باز می‌کند.

داستان اول: جپسن در ParticleDB چه یافت؟

0:44 داستان اول. شنبه جپسن گزارش خود را درباره ParticleDB منتشر کرد، یک پایگاه داده Rust از Orkes که برای عوامل هوش مصنوعی طراحی شده است. اورکس هزینه این کار را پرداخت کرد. صفحه اصلی می‌گفت Full ACID، یکصد و پنجاه و نه هزار تراکنش در ثانیه. جپسن ParticleDB را از اولین ساخت ۱.۱ آن تا یک کاندیدای انتشار دیرهنگام آزمایش کرد. سایت آن را رسماً اثبات شده نامید، با اثبات TLA پلاس. جپسن می‌گوید هیچ مشخصات TLA پلاس در طول کار در دسترس نبود.

1:10 در زیر خط Full ACID، همان صفحه به جداسازی اسنپ‌شات اشاره داشت، که به طور کامل ایزوله نیست. باگ‌ها ظریف نبودند. اکثر آنها به یک سرور، یک کلاینت و بدون تزریق خرابی نیاز داشتند. یک بند 'where' که می‌گفت چهار برابر با پنج است، ردیف‌ها را برمی‌گرداند. یک بند 'where' که می‌گفت 'true' هیچ چیز را مطابق با آن نیافت. به‌روزرسانی‌ها دو ردیف با یک کلید اصلی مشابه را باقی گذاشتند. آخرین نسخه‌ای که جپسن آزمایش کرد، نامزد انتشار بیست و دو,

1:36 بسیار ایمن‌تر بود. با این حال، حالت تراکنش پیش‌فرض در طول عملیات عادی، نوشته‌های ثبت شده را از دست می‌داد. سخت‌گیرانه‌ترین حالت همچنان اجازه بروزرسانی گمشده را پس از کشتن یک فرآیند می‌داد. اورکس می‌گوید نسخه بعدی آن همه اینها را برطرف می‌کند. جپسن آن را آزمایش نکرده است. بنابراین در آن آخرین نسخه، یک پایگاه داده که Full ACID را وعده داده بود، می‌توانست یک نوشتن را که قبلاً ثبت کرده بود، از دست بدهد. سرعت، گمان می‌کنم، عالی بود.

2:00 توصیه جپسن واضح است. استقرار بیشتر ParticleDB را متوقف کرده و در اسرع وقت به پایگاه داده دیگری مهاجرت کنید. اورکس مقصر را به یک بازسازی بهاری نسبت می‌دهد و می‌گوید مشتریان خودش، در نسخه قدیمی‌تر، احتمالاً تحت تأثیر قرار نگرفته‌اند. مستندات رویه‌های ذخیره شده حتی یک آدرس ایمیل برای کایل کینگزبری اختراع کرده بود. داستان دوم. Lenovo ThinkPlus FU100 یک فلش مموری اثر انگشتی است

داستان دوم: داخل فلش مموری اثر انگشتی لنوو چه بود؟

2:21 که به عنوان سخت‌افزار رمزگذاری شده با AES 256 به بازار عرضه شده است. محقق امنیتی Xusheng Li یکی را باز کرد و یک کارت SD معمولی یافت، که هیچ چیز روی آن رمزگذاری نشده بود. حسگر اثر انگشت تنها یک چیز را تعیین می‌کرد، اینکه آیا فلش به کامپیوتر متصل می‌شد یا خیر. فایل‌های روی کارت هرگز به آن بستگی نداشتند. لی این نقص را در اوت ۲۰۲۵ به لنوو گزارش کرد. اولین راه حل یک لایه اپوکسی روی کارت SD بود. پس فایل‌ها هرگز رمزگذاری نشدند.

2:47 صبر کنید، فقط یک کارت SD است؟ همیشه همینطور بوده است. لنوو مشاوره خود را بالا ارزیابی کرد. راه حل بعدی، برای FU100 و سه درایو مرتبط، به معنای تماس با یک خط خدمات در چین است، سپس یا درایو را پس فرستادن یا دریافت یک ارتقاء فریمور در محل. لنوو توصیه می‌کند ابتدا درایو را پاک کنید. هفته گذشته لی Codex OpenAI را به همراه ابزار مهندسی معکوس کارفرمای خود،

3:09 به سمت نرم‌افزار محافظت USB سایر سازندگان هدایت کرد. نرم‌افزار Netac حدود هفت دقیقه طول کشید، زیرا یک کلید ثابت داخلی داشت و رمز عبور را در گزارش‌های تشخیصی می‌نوشت. یک درایو دارای دو حساب پنهان بود که لی آن‌ها را بک‌دور می‌نامد. اگر امنیت یک درایو سخت‌افزار آن است، خودتان آن را بررسی کنید. فایل‌ها را با نرم‌افزاری که کنترل می‌کنید، قبل از رسیدن به فلش، رمزگذاری کنید، و اثر انگشت را به عنوان یک راحتی در نظر بگیرید.

داستان سوم: کارپاتی در یک صبح چه ساخت؟

3:31 داستان سوم، داستان سبک. جمعه شب آندری کارپاتی یوتیوب را باز کرد، آنچه را که او یک دیوار کثیف از لجن نامید دید، و صبح شنبه به عامل کدنویسی خود گفت که یک جایگزین از هر چیزی که Hacker News توصیه می‌کند، بسازد. این عامل نظرات Hacker News را دانلود کرد، اسپم را فیلتر کرد، و حدود چهل هزار مورد را که یک ویدیوی یوتیوب را توصیه می‌کردند، نگه داشت. این کار شش هزار و چهارصد و پنجاه و چهار ویدیو را باقی گذاشت، از سال دو هزار و هفت تا کنون، در صد و پنجاه موضوع.

3:58 سایت hackertube.org است. این سایت به جای تصویر بندانگشتی که آپلودکننده انتخاب کرده، فریم را از نقطه میانی نشان می‌دهد، که کمی آزاردهنده است. کارپاتی می‌گوید کل ساخت حدود دو ساعت طول کشید. تنها مراحل دستی او یک کلید API گوگل، یک سرور و یک دامنه بود. در دوازدهم اکتبر به شما گفتم کارپاتی فکر می‌کند دسترسی و وظایف شکافی را در چگونگی درک مردم از این ابزارها ایجاد می‌کند. دو ساعت کار یک نقطه داده مناسب است.

4:21 داستان چهارم، داستانی که باید بر اساس آن عمل کرد.

داستان چهارم: برای CVE-2026-98432 چه چیزی را پچ می‌کنید؟

4:23 CVE 2026, 98432 یک use-after-free در handshake TCP IPv4 کرنل لینوکس است، با امتیاز ۹.۸ از ۱۰. یک همتای راه دور بدون نیاز به ورود می‌تواند به آن دسترسی پیدا کند. اریک دومازه اصلاحیه را در اول اکتبر نوشت. اصلاحیه در یازدهم و پانزدهم اکتبر به کرنل‌های پایدار رسید، و این باگ به لینوکس ۴.۴ بازمی‌گردد. رد هت رتبه خود را از مهم به حیاتی در سی‌ام اکتبر افزایش داد. عصر شنبه، اوبونتو و Red Hat Enterprise Linux هنوز هیچ کرنل اصلاح شده‌ای را لیست نکرده بودند.

4:52 Anthropic می‌گوید Claude یک اکسپلویت کارا برای سرورهایی با شنونده TCP چندمسیری نوشت، و برنامه‌های Go از نسخه ۱.۲۴ به طور پیش‌فرض این شنونده‌ها را باز کرده‌اند. تیم Go هشدار می‌دهد که سیستم‌هایی بدون این شنونده ممکن است در برابر حملات مشابه آسیب‌پذیر باشند و می‌گوید بهترین راه حل، یک کرنل پچ شده است. اگر توزیع شما هنوز کرنل اصلاح شده‌ای ندارد، رد هت و AlmaLinux یک قانون فایروال منتشر می‌کنند که بسته‌های TCP IPv4 حاوی گزینه‌های IP را حذف می‌کند. رد هت می‌گوید این کار میزان در معرض خطر بودن را کاهش می‌دهد و نمی‌تواند به طور کامل از آن جلوگیری کند. بعد از آن، شما صبر می‌کنید. امروز چه کاری باید انجام داد.

5:23 کرنل اصلاح شده توزیع خود را نصب کرده و راه‌اندازی مجدد کنید، از جمله روی میزبان‌های کانتینر و گره‌های کوبرنتیس نیز، زیرا کانتینرها کرنل میزبان را به اشتراک می‌گذارند. دبیان، سوزه و آمازون لینوکس از قبل اصلاحیه‌ها را دارند. اگر هنوز نمی‌توانید پچ کنید، با میزبان‌هایی که شنونده‌های TCP چندمسیری را اجرا می‌کنند، شروع کنید. اکنون زمان‌سنجی که وعده داده بودم. در اثبات مفهوم خود Anthropic، چهل و هشت دقیقه طول می‌کشد تا یک نشانگر کرنل را فاش کند، سپس پنج دقیقه دیگر برای اجرای یک دستور شل.

بازگشت به زمان‌سنج: بهره‌برداری چقدر طول کشید؟

5:44 Anthropic اکسپلویت را منتشر نکرده است. اگر ترجیح می‌دهید این را بخوانید تا اینکه من آن را بگویم، Daily Diff هر روز صبح به صورت رایگان به ایمیل شما ارسال می‌شود، در thedailydiff.dev، لینک زیر. بنابراین حکم امروز REVERT است. من ParticleDB را برمی‌گردانم، زیرا توصیه جپسن توقف استقرار است،

حکم: REVERT

6:02 و آن کرنل را پچ می‌کنم، زیرا با یک زمان‌سنج می‌آید. و این تفاوت برای امروز است. من نیکو از Axrisi هستم. مسئولانه ادغام کنید. اگر ترجیح می‌دهید این را بخوانید تا اینکه من آن را بگویم، Daily Diff هر روز صبح به صورت رایگان به ایمیل شما ارسال می‌شود، در thedailydiff.dev، لینک زیر.

منابع

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas