ParticleDB:n Jepsen-raportti, Lenovon sormenjälki-USB-tikku, Karpathyn HackerTube ja Linuxin TCP-bugin CVE-2026-98432: neljä kehittäjätarinaa yhdessä Daily Diffissä

Mitä tämä video käsittelee

• Jepsen, Kyle Kingsburyn ylläpitämä tietokannan testauslaboratorio, julkaisi analyysinsä ParticleDB:stä 31. lokakuuta 2026. ParticleDB on Orkesin Rust-tietokanta, joka on suunnattu tekoälyagentteihin; Orkes rahoitti työn. Jepsen testasi versioita 1.1.4 - 1.1.18.11.rc-22 yhdellä solmulla ja esittää 96 ongelmaa, joista useimmat vaativat yhden palvelimen, yhden asiakkaan ja ei vikoja. Esimerkkejä raportissa: WHERE 4 = 5 -lause palautti rivejä, joiden ensisijainen avain oli 5, WHERE TRUE ei vastannut mitään, ja UPDATE saattoi jättää useita rivejä samalla ensisijaisella avaimella.
• ParticleDB:n kotisivulla mainostettiin "Täysi ACID. 159K TPS." ja TLA+ -todistusta, mutta Jepsen sanoo, ettei TLA+ -määrittelyä ollut saatavilla yhteistyön aikana, ja "Täysi ACID" -kohdan alla oleva teksti mainitsi snapshot-eristyksen. Versiossa 1.1.18.11.rc-22, viimeisessä Jepsenin testaamassa versiossa, oletusarvoinen occ-transaktiotila menetti silti sitoutuneita kirjoituksia normaalin toiminnan aikana, ja tiukin serialisoitava tila salli kadonneen päivityksen prosessien sammuttamisen jälkeen. Orkes sanoo, että versio 1.1.19-rc.13 ratkaisee kaikki jäljellä olevat ongelmat; Jepsen ei ole arvioinut sitä ja suosittelee, että käyttäjät lopettavat ParticleDB:n jatkokäyttöönoton ja siirtyvät muihin tietokantoihin.
• Tietoturvatutkija Xusheng Li havaitsi, että Lenovo ThinkPlus FU100 -sormenjälki-USB-tikku, jota markkinoitiin AES-256-salauksella laitteiston tasolla, sisälsi tavallisen SD-kortin, jonka tietoja ei ollut salattu; sormenjälkilukija vain kytki USB-yhteyden päälle. Hän raportoi asiasta 2. elokuuta 2025, ja Lenovon ensimmäinen korjaus oli epoksikerros SD-kortin päällä. Lenovo luokitteli oman neuvontansa korkeaksi, ja myöhempi korjaus FU100:lle ja siihen liittyville asemille vaatii soittamisen Kiinassa olevaan palvelunumeroon, minkä jälkeen joko vaihdon tai paikan päällä tehtävän laiteohjelmistopäivityksen, Tom's Hardwaren mukaan.
• Tom's Hardwaren raportoimassa seurantaraportissa Li käytti OpenAI:n Codexia työnantajansa käänteissuunnittelutyökalun kanssa muiden valmistajien USB-suojausohjelmistoja vastaan; Netacin toimintojen murtaminen kesti noin seitsemän minuuttia, koska siinä oli sisäänrakennettu kiinteä avain ja se kirjoitti salasanan diagnostiikkalokeihin, ja toisen myyjän asemassa oli kaksi piilotettua tiliä, joita Li kutsuu takaoviksi. Jos tiedot ovat USB-tikulla, salaa tiedostot hallitsemallasi ohjelmistolla ennen kuin ne päätyvät laitteeseen.
• 31. lokakuuta 2026 Andrej Karpathy kuvasi HackerTuben, YouTube-tyyppisen sivuston osoitteessa hackertube.org, jonka hän rakensi koodausagenttinsa avulla noin kahdessa tunnissa. Agentti latasi Hacker News -kommentteja, suodatti roskapostin ja piti noin 40 000 kommenttia, jotka suosittelivat YouTube-videota, tuottaen 6 454 videota vuosilta 2007-2026 yli 150 aiheesta. Sivusto näyttää kehyksen 50 prosentin kohdalta ladatun pikkukuvan sijaan. Karpathy listaa manuaalisiksi vaiheikseen Google Cloud API -avaimen, palvelimen ja verkkotunnuksen.
• CVE-2026-98432 on use-after-free Linux-ytimen IPv4 TCP-kättelyssä, CVSS-pisteet 9.8, tavoitettavissa etäyhteydellä ilman kirjautumista. Eric Dumazetin korjaus korvasi kaksi tavallista kfree-kutsua kfree_rcu:lla 1. lokakuuta päivätyllä commitilla; vakaat ytimet korjauksella julkaistiin 11. ja 15. lokakuuta, ja virhe juontaa juurensa Linux 4.4:ään. Red Hat nosti luokituksensa tärkeästä kriittiseksi 30. lokakuuta. Ubuntu ja Red Hat Enterprise Linux eivät ilmoittaneet korjattua ydintä lauantai-iltana 31. lokakuuta. Asenna jakeluversiosi korjattu ydin ja käynnistä uudelleen, mukaan lukien kontti-isännät, koska kontit jakavat isännän ytimen.
• Anthropic sanoo, että Claude kirjoitti toimivan hyväksikäytön Linux-palvelimille, joissa on multipath TCP -kuuntelija, ja että sen proof of conceptissa kestää 48 minuuttia vuotaa ytimen osoitin ja viisi minuuttia lisää suorittaa komentorivikomento; hyväksikäyttöä ei ole julkaistu. Go Security Team toteaa, että Go-ohjelmat ottavat multipath TCP -kuuntelijat käyttöön oletuksena Go 1.24:stä lähtien ja varoittaa, että järjestelmät ilman kyseistä kuuntelijaa voivat olla alttiita vastaaville hyökkäyksille. Red Hat ja AlmaLinux julkaisevat palomuurisäännön, joka pudottaa IPv4 TCP -paketit IP-asetuksilla, minkä Red Hat sanoo vähentävän altistumista eikä estä täysin hyväksikäyttöä.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Kylmä avaus: miten where-lause sanoo neljä on yhtä kuin viisi?

0:00 Tietokannan, joka mainostaa Full ACID:ia, odotetaan säilyttävän sen, mitä kirjoitat. Jepsen testasi yhtä ja löysi yhdeksänkymmentäkuusi ongelmaa, mukaan lukien where-lausekkeen, joka sanoi neljä on yhtä kuin viisi ja palautti silti rivejä. Tässä videossa neljä tarinaa. Mitä Jepsen löysi tietokannasta, joka väitti olevansa Full ACID? Mitä oli salattuna myydyn sormenjälki-USB-tikun sisällä? Mitä Andrej Karpathy rakensi eräänä aamuna? Ja mitä korjaat Linuxin verkkobugiin?

0:26 Yksi näistä bugeista tulee mukana sekuntikellon kanssa. Luen sen sinulle lopussa. On sunnuntai, marraskuun ensimmäinen, ja tämä on The Daily Diff. Jepsen on Kyle Kingsburyn testilaboratorio. Se ajaa tietokantaa läpi todellisten työkuormien ja vikojen ja tarkistaa, pitävätkö verkkosivuston lupaukset paikkansa. Ajattele tarkastajaa, joka todella avaa jääkaapin.

Tarina yksi: mitä Jepsen löysi ParticleDB:stä?

0:44 Tarina yksi. Lauantaina Jepsen julkaisi raporttinsa ParticleDB:stä, Orkesin Rust-tietokannasta, joka on suunnattu tekoälyagenteille. Orkes maksoi työstä. Kotisivulla luki Full ACID, sata viisikymmentäyhdeksän tuhatta tapahtumaa sekunnissa. Jepsen testasi ParticleDB:tä sen ensimmäisestä versiosta 1.1 aina myöhäiseen julkaisuehdokkaaseen asti. Sivusto kutsui sitä formaalisti todistetuksi, TLA plus todisteella. Jepsen sanoo, ettei TLA+ -määrittelyä ollut saatavilla työn aikana.

1:10 Full ACID -rivin alla samalla sivulla luki snapshot-eristys, mikä ei ole täysin eristetty. Bugeja ei ollut vaikea huomata. Useimmat vaativat yhden palvelimen, yhden asiakkaan ja ei vikoja syötettynä. Where-lauseke, joka sanoi neljä on yhtä kuin viisi, palautti rivejä. Where-lauseke, joka sanoi tosi, ei vastannut mitään. Päivitykset jättivät kaksi riviä samalla ensisijaisella avaimella. Viimeisin Jepsenin testaama julkaisu, julkaisuehdokas kaksikymmentäkaksi,

1:36 oli paljon turvallisempi. Siitä huolimatta oletusarvoinen transaktiotila menetti sitoutuneita kirjoituksia normaalin toiminnan aikana. Tiukin tila salli edelleen kadonneet päivitykset prosessin sammuttamisen jälkeen. Orkes sanoo seuraavan julkaisunsa korjaavan kaiken tämän. Jepsen ei ole testannut sitä. Joten tuossa viimeisessä julkaisussa tietokanta, joka lupasi Full ACID:in, saattoi menettää jo vahvistamansa kirjoituksen. Nopeus oli oletettavasti erinomainen.

2:00 Jepsenin neuvo on selkeä. Keskeytä ParticleDB:n jatkokäyttöönotto ja siirry toiseen tietokantaan mahdollisimman pian. Orkes syyttää kevätreaktoria ja sanoo, että sen omat asiakkaat, vanhemmassa versiossa, olivat todennäköisesti vahingoittumattomia. Tallennettujen toimenpiteiden dokumentaatiossa jopa keksittiin sähköpostiosoite Kyle Kingsburylle. Tarina kaksi. Lenovo ThinkPlus FU sata on sormenjälki-USB-tikku,

Tarina kaksi: mitä Lenovon sormenjälki-USB-tikun sisällä oli?

2:21 jota markkinoidaan laitteistotasolla salattuna AES kaksisataaviisikymmentäkuudella. Tietoturvatutkija Xusheng Li purki yhden ja löysi tavallisen SD-kortin, ilman mitään salattua. Sormenjälkilukija päätti vain yhden asian, yhdistyikö tikku tietokoneeseen. Kortin tiedostot eivät koskaan riippuneet siitä. Li raportoi virheestä Lenovolle elokuussa 2025. Ensimmäinen korjaus oli epoksikerros SD-kortin päälle. Eli tiedostot eivät koskaan olleet salattuja.

2:47 Odota, onko se vain SD-kortti? Aina on ollut. Lenovo luokitteli oman neuvontansa korkeaksi. Myöhempi korjaus FU sataan ja kolmelle siihen liittyvälle asemalle, tarkoittaa soittamista Kiinan palvelulinjalle, sitten joko aseman lähettämistä takaisin tai paikan päällä tehtävää laiteohjelmistopäivitystä. Lenovo suosittelee aseman tyhjentämistä ensin. Viime viikolla Li osoitti OpenAI:n Codexin ja työnantajansa käänteissuunnittelutyökalun

3:09 muihin valmistajien USB-suojausohjelmistoihin. Netacin ratkaisuun meni noin seitsemän minuuttia, koska siinä oli sisäänrakennettu kiinteä avain ja se kirjoitti salasanan diagnostiikkalokeihin. Yhdellä asemalla oli kaksi piilotettua tiliä, joita Li kutsuu takaoviksi. Jos aseman turvallisuus on laitteistoa, tarkista se itse. Salaa tiedostot hallitsemallasi ohjelmistolla ennen kuin ne päätyvät tikkuun, ja käsittele sormenjälkeä pelkkänä mukavuutena.

Tarina kolme: mitä Karpathy rakensi eräänä aamuna?

3:31 Tarina kolme, se kevyempi. Perjantai-iltana Andrej Karpathy avasi YouTuben, näki mitä hän kutsui "paskannetuksi lieteeksi", ja lauantaiaamuna hän käski koodausagenttinsa rakentamaan korvaajan siitä, mitä Hacker News suosittelee. Agentti latasi Hacker News -kommentit, suodatti roskapostin, ja säilytti noin neljäkymmentä tuhatta, jotka suosittelevat YouTube-videota. Jäljelle jäi kuusi tuhatta neljäsataaviisikymmentäneljä videota, vuosilta 2007 tähän päivään, sadasta viidestäkymmenestä aiheesta.

3:58 Sivusto on hackertube dot org. Se näyttää kuvan puolivälistä sen pikkukuvan sijaan, jonka lataaja valitsi, mikä kirvelee hieman. Karpathy sanoo, että koko rakentaminen kesti noin kaksi tuntia. Hänen ainoat manuaaliset vaiheet olivat Google API -avain, palvelin ja verkkotunnus. Lokakuun kahdestoista päivä kerroin sinulle, että Karpathy ajattelee pääsyn ja tehtävien luovan kuilun siinä, miten ihmiset ymmärtävät näitä työkaluja. Kaksi tuntia työtä on kelvollinen tietopiste.

4:21 Tarina neljä, se johon on toimittava.

Tarina neljä: mitä korjaat CVE-2026-98432:lle?

4:23 CVE kaksikymmentä kaksikymmentäkuusi, yhdeksänkymmentäkahdeksan neljäkymmentäkolme kaksikymmentäkolme on use-after-free Linux-ytimen IPv4 TCP-kättelyssä, pistemäärä yhdeksän piste kahdeksan kymmenestä. Etäpääte ilman kirjautumista voi tavoittaa sen. Eric Dumazet kirjoitti korjauksen ensimmäisenä lokakuuta. Korjaus saavutti vakaat kernelit lokakuun yhdennellätoista ja viidennellätoista, ja vika juontaa juurensa Linux neljä piste neljään. Red Hat nosti luokituksensa tärkeästä kriittiseksi lokakuun kolmantenakymmenentenä. Lauantai-iltana Ubuntu ja Red Hat Enterprise Linux ilmoittivat edelleen, ettei korjattua

4:52 ydintä ollut. Anthropic sanoo, että Claude kirjoitti toimivan hyväksikäytön palvelimille, joissa on multipath TCP kuuntelija, ja Go-ohjelmat ovat avanneet ne oletuksena Go yksi piste kaksikymmentäneljästä alkaen. Go-tiimi varoittaa, että järjestelmät ilman kyseistä kuuntelijaa voivat olla alttiita samankaltaisille hyökkäyksille, ja sanoo parhaan korjauksen olevan paikattu ydin. Jos jakeluversiossasi ei ole vielä korjattua ydintä, Red Hat ja AlmaLinux julkaisevat palomuurisäännön, joka pudottaa IPv4 TCP -paketit, jotka sisältävät IP-asetuksia. Red Hat sanoo, että se vähentää altistumista eikä pysty täysin estämään sitä.

5:23 Sen jälkeen odotat. Mitä tehdä tänään. Asenna jakeluversiosi korjattu ydin ja käynnistä uudelleen, myös kontti-isännillä ja Kubernetes-solmuilla, koska kontit jakavat isäntäytimen. Debian, Suse ja Amazon Linux ovat jo korjanneet ongelman. Jos et voi vielä korjata, aloita isännistä, jotka ajavat multipath TCP -kuuntelijoita. Nyt se sekuntikello, jonka lupasin.

Takaisin sekuntikelloon: kuinka kauan hyväksikäyttö kesti?

5:44 Anthropicin omassa proof of conceptissa kestää neljäkymmentäkahdeksan minuuttia vuotaa ytimen osoitin, sitten viisi minuuttia lisää suorittaa komentorivikomento. Anthropic ei ole julkaissut hyväksikäyttöä. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, diff saapuu sähköpostiisi joka aamu, ilmaiseksi osoitteessa the daily diff dot dev, linkki alla.

Tuomio: REVERT

6:02 Joten tämänpäiväinen tuomio on REVERT. Peruuttaisin ParticleDB:n, koska Jepsenin neuvo on lopettaa käyttöönotto, ja paikkaisin tuon ytimen, koska siinä on mukana sekuntikello. Ja siinäpä tämän päivän ero. Olen Niko Axrisista. Yhdistä vastuullisesti.

Lähteet

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas