Ulat ng Jepsen sa ParticleDB, USB stick na may fingerprint ng Lenovo, HackerTube ni Karpathy at ang Linux TCP bug na CVE-2026-98432: apat na kwento ng developer sa isang Daily Diff

Ang sakop ng video na ito

• Inilathala ng Jepsen, ang database testing lab na pinamamahalaan ni Kyle Kingsbury, ang pagsusuri nito sa ParticleDB noong Oktubre 31, 2026. Ang ParticleDB ay isang Rust database mula sa Orkes na naglalayong sa mga AI agent; pinondohan ng Orkes ang trabaho. Sinubukan ng Jepsen ang mga bersyon 1.1.4 hanggang 1.1.18.11.rc-22 sa isang solong node at nagpakita ng 96 isyu, karamihan sa mga ito ay nangangailangan ng isang server, isang client at walang faults. Mga halimbawa sa ulat: isang WHERE 4 = 5 clause ang nagbalik ng mga row na may primary key 5, WHERE TRUE ay walang katugma, at ang isang UPDATE ay maaaring mag-iwan ng maraming row na may parehong primary key.
• Ang homepage ng ParticleDB ay nag-anunsyo ng 'Full ACID. 159K TPS.' at isang TLA+ proof, ngunit sinabi ni Jepsen na walang TLA+ specification na magagamit sa panahon ng pakikipagtulungan, at ang teksto sa ilalim ng 'Full ACID' ay nagsabing snapshot isolation. Sa 1.1.18.11.rc-22, ang huling bersyon na sinubukan ng Jepsen, ang default na occ transaction mode ay nawalan pa rin ng committed writes sa panahon ng normal na operasyon, at ang pinakamahigpit na serializable mode ay nagpahintulot ng Lost Update pagkatapos ng pagpatay ng proseso. Sinabi ng Orkes na ang bersyon 1.1.19-rc.13 ay nalulutas ang lahat ng natitirang isyu; hindi ito sinuri ng Jepsen at inirerekomenda na ihinto ng mga user ang karagdagang deployment ng ParticleDB at lumipat sa ibang mga database.
• Natuklasan ng security researcher na si Xusheng Li na ang Lenovo ThinkPlus FU100 fingerprint USB stick, na ibinebenta bilang hardware encrypted na may AES-256, ay naglalaman ng isang plain SD card na ang data ay hindi naka-encrypt; ang fingerprint reader ay nagpapalit lamang ng koneksyon sa USB. Iniulat niya ito noong Agosto 2, 2025, at ang unang solusyon ng Lenovo ay isang layer ng epoxy sa ibabaw ng SD card. Binigyan ng Lenovo ng mataas na rating ang kanilang advisory, at ang isang huling solusyon para sa FU100 at mga kaugnay na drive ay nangangailangan ng pagtawag sa isang service line sa China, pagkatapos ay isang kapalit o on-site firmware upgrade, ayon sa Tom's Hardware.
• Sa isang follow-up na iniulat ng Tom's Hardware, ginamit ni Li ang Codex ng OpenAI sa reverse engineering tool ng kanyang employer laban sa software ng proteksyon ng USB ng ibang mga gumagawa; ang sa Netac ay tumagal ng humigit-kumulang pitong minuto dahil mayroon itong fixed key na built-in at isinulat ang password sa mga diagnostic log, at ang drive ng isa pang vendor ay may dalawang nakatagong account na tinatawag ni Li na mga backdoor. Para sa data sa isang USB stick, i-encrypt ang mga file gamit ang software na kontrolado mo bago sila makarating sa device.
• Noong Oktubre 31, 2026, inilarawan ni Andrej Karpathy ang HackerTube, isang site na tulad ng YouTube sa hackertube.org na binuo gamit ang kanyang coding agent sa loob ng humigit-kumulang dalawang oras. Nag-download ang agent ng mga komento sa Hacker News, sinala ang spam at pinanatili ang humigit-kumulang 40,000 na nagrerekomenda ng isang video sa YouTube, na nagbunga ng 6,454 na video mula 2007 hanggang 2026 sa 150 paksa. Ipinapakita ng site ang frame sa 50 porsyento na marka sa halip na ang na-upload na thumbnail. Inilista ni Karpathy ang kanyang mga manual na hakbang bilang isang Google Cloud API key, isang server at isang domain.
• Ang CVE-2026-98432 ay isang use-after-free sa IPv4 TCP handshake ng Linux kernel, na nakakuha ng CVSS 9.8, at maaabot ng isang remote peer nang walang login. Pinalitan ng fix ni Eric Dumazet ang dalawang plain kfree calls ng kfree_rcu sa isang commit na may petsang Oktubre 1; ang stable kernels na may fix ay naipadala noong Oktubre 11 at 15, at ang bug ay bumalik sa Linux 4.4. Itinaas ng Red Hat ang rating nito mula Mahalaga patungong Kritikal noong Oktubre 30. Walang nakalistang fixed kernel ang Ubuntu at Red Hat Enterprise Linux noong Sabado ng gabi, Oktubre 31. I-install ang fixed kernel ng iyong distribution at mag-reboot, kasama ang mga container host, dahil ang mga container ay nagbabahagi ng host kernel.
• Sinabi ng Anthropic na sumulat si Claude ng isang gumaganang exploit para sa mga Linux server na may multipath TCP listener, at sa proof of concept nito ay tumatagal ng 48 minuto upang mailabas ang isang kernel pointer at limang minuto pa upang magpatakbo ng shell command; hindi pa nailalathala ang exploit. Nabanggit ng Go Security Team na ang mga programa ng Go ay nagpapagana ng multipath TCP listeners bilang default mula pa noong Go 1.24 at nagbabala na ang mga system na walang listener na iyon ay maaaring mahina sa mga katulad na pag-atake. Naglathala ang Red Hat at AlmaLinux ng isang firewall rule na nagtatapon ng IPv4 TCP packets na may IP options, na sinasabi ng Red Hat na nagbabawas ng exposure at hindi ganap na pumipigil sa exploitation.

Isinaling transcript

Isinalin mula sa orihinal na salaysay sa English. Ang available na audio at mga caption ay kinokontrol ng YouTube.

Paano sinabi ng isang where clause na apat ay katumbas ng lima?

0:00 Ang isang database na nag-aanunsyo ng Full ACID ay dapat magtago ng iyong isinulat. Sinubukan ni Jepsen ang isa at nakahanap ng siyamnapu't anim na isyu, kabilang ang isang where clause na nagsabing apat ay katumbas ng lima at nagbalik pa rin ng mga row. Sa video na ito, apat na kwento. Ano ang natuklasan ni Jepsen sa isang database na nag-claim ng Full ACID? Ano ang nasa loob ng isang fingerprint USB stick na ibinebenta bilang naka-encrypt? Ano ang binuo ni Andrej Karpathy sa isang umaga? At ano ang kailangan mong i-patch para sa isang bug sa networking ng Linux?

0:26 Isa sa mga bug na iyon ay may stopwatch. Babanggitin ko ito sa iyo sa dulo. Linggo ngayon, Nobyembre uno, at ito ang The Daily Diff. Ang Jepsen ay ang testing lab ni Kyle Kingsbury. Pinapatakbo nito ang isang database sa pamamagitan ng tunay na workloads at pagkabigo at sinusuri kung ang mga garantiya sa website ay totoo. Isipin ang isang inspektor na talagang nagbubukas ng ref.

Unang kwento: ano ang natuklasan ni Jepsen sa ParticleDB?

0:44 Unang kwento. Noong Sabado, inilathala ni Jepsen ang ulat nito sa ParticleDB, isang Rust database mula sa Orkes na naglalayong sa mga AI agent. Binayaran ng Orkes ang trabaho. Sinabi ng home page na Full ACID, isang daan at limampu't siyam na libong transaksyon kada segundo. Sinubukan ni Jepsen ang ParticleDB mula sa una nitong 1.1 build hanggang sa isang huling release candidate. Tinawag ng site na pormal na napatunayan, na may TLA plus proof. Sinabi ni Jepsen na walang TLA plus specification na magagamit sa panahon ng trabaho.

1:10 Sa ilalim ng linyang Full ACID, sinabi ng parehong pahina na snapshot isolation, na hindi ganap na isolated. Hindi maliliit ang mga bug. Karamihan ay nangailangan ng isang server, isang client at walang na-inject na mga pagkabigo. Isang where clause na nagsabing apat ay katumbas ng lima ang nagbalik ng mga row. Isang where clause na nagsabing true ay walang katugma. Nag-iwan ang mga update ng dalawang row na may parehong primary key. Ang huling release na sinubukan ni Jepsen, release candidate dalawampu't dalawa,

1:36 ay mas ligtas. Gayunpaman, ang default na transaction mode ay nawalan ng committed writes sa panahon ng normal na operasyon. Pinayagan pa rin ng pinakamahigpit na mode ang nawawalang mga update pagkatapos ng pagpatay ng proseso. Sinabi ng Orkes na aayusin ng susunod nitong release ang lahat ng ito. Hindi pa ito sinubukan ni Jepsen. Kaya sa huling release na iyon, ang isang database na nangako ng Full ACID ay maaaring mawala ang isang write na na-commit na nito. Ang bilis, sa palagay ko, ay mahusay.

2:00 Malinaw ang payo ni Jepsen. Ihinto ang karagdagang deployment ng ParticleDB at lumipat sa isa pang database sa lalong madaling panahon. Sisisihin ng Orkes ang isang spring refactor at sinabi na ang sarili nitong mga customer, sa mas lumang bersyon, ay malamang na hindi apektado. Ang mga stored procedure docs ay nag-imbento pa ng email address para kay Kyle Kingsbury. Ikalawang kwento. Ang Lenovo ThinkPlus FU100 ay isang fingerprint USB stick

Ikalawang kwento: ano ang nasa loob ng Lenovo fingerprint USB stick?

2:21 na ibinebenta bilang hardware encrypted na may AES256. Binuwag ng security researcher na si Xusheng Li ang isa at natagpuan ang isang ordinaryong SD card, na walang naka-encrypt. Isang bagay lang ang pinagdesisyunan ng fingerprint reader, kung ang stick ay konektado sa computer. Ang mga file sa card ay hindi kailanman nakadepende dito. Iniulat ni Li ang depekto sa Lenovo noong Agosto 2025. Ang unang solusyon ay isang layer ng epoxy sa ibabaw ng SD card. Kaya ang mga file ay hindi kailanman naka-encrypt.

2:47 Sandali, SD card lang pala ito? Palagi naman. Binigyan ng Lenovo ng mataas na rating ang sarili nitong advisory. Ang huling solusyon, para sa FU100 at tatlong kaugnay na drive, ay nangangahulugang pagtawag sa isang service line sa China, pagkatapos ay alinman sa pagpapadala pabalik ng drive o pagkuha ng on-site firmware upgrade. Ipinapayo ng Lenovo ang pag-wipe muna ng drive. Noong nakaraang linggo, itinuro ni Li ang Codex ng OpenAI, kasama ang reverse engineering tool ng kanyang employer,

3:09 sa software ng proteksyon ng USB ng ibang mga gumagawa. Ang sa Netac ay tumagal ng humigit-kumulang pitong minuto, dahil mayroon itong fixed key na built-in at isinulat ang password sa mga diagnostic log. Isang drive ang may dalawang nakatagong account na tinatawag ni Li na mga backdoor. Kung ang seguridad ng isang drive ay ang hardware, suriin mo mismo. I-encrypt ang mga file gamit ang software na kontrolado mo bago sila makarating sa stick, at ituring ang fingerprint bilang isang kaginhawaan.

Ikatlong kwento: ano ang binuo ni Karpathy sa isang umaga?

3:31 Ikatlong kwento, ang magaan. Noong Biyernes ng gabi, binuksan ni Andrej Karpathy ang YouTube, nakita ang tinatawag niyang “enshittified wall of slop,” at noong Sabado ng umaga ay sinabihan ang kanyang coding agent na bumuo ng kapalit mula sa anumang inirerekomenda ng Hacker News. Na-download ng agent ang mga komento sa Hacker News, sinala ang spam, at pinanatili ang humigit-kumulang apatnapung libo na nagrerekomenda ng isang video sa YouTube. Nag-iwan ito ng anim na libo, apat na raan, limampu't apat na video, mula dalawang libo't pito hanggang ngayon, sa isang daan at limampu't paksa.

3:58 Ang site ay hackertube dot org. Ipinapakita nito ang frame mula sa kalagitnaan sa halip na ang thumbnail na pinili ng nag-upload, na medyo masakit. Sinabi ni Karpathy na ang buong build ay tumagal ng humigit-kumulang dalawang oras. Ang kanyang tanging manual na hakbang ay isang Google API key, isang server at isang domain. Noong Oktubre dose, sinabi ko sa iyo na iniisip ni Karpathy na ang access at mga gawain ay lumilikha ng agwat sa kung paano naiintindihan ng mga tao ang mga tool na ito. Dalawang oras ng trabaho ay isang disenteng data point.

4:21 Ika-apat na kwento, ang dapat aksyunan.

Ika-apat na kwento: ano ang kailangan mong i-patch para sa CVE-2026-98432?

4:23 Ang CVE 2026, 98432 ay isang use-after-free sa Linux kernel's IPv4 TCP handshake, na nakakuha ng 9.8 sa sampu. Maaari itong maabot ng isang remote peer nang walang login. Isinulat ni Eric Dumazet ang fix noong Oktubre uno. Ang fix ay nakarating sa stable kernels noong Oktubre labing-isa at labing-lima, at ang bug ay bumalik sa Linux 4.4. Itinaas ng Red Hat ang rating nito mula sa importante patungong kritikal noong Oktubre 30. Noong Sabado ng gabi, ang Ubuntu at Red Hat Enterprise Linux ay wala pa ring nakalistang fixed kernel.

4:52 Sinasabi ng Anthropic na sumulat si Claude ng isang gumaganang exploit para sa mga server na may multipath TCP listener, at binuksan na ng mga Go program ang mga ito bilang default mula pa noong Go 1.24. Nagbabala ang Go team na ang mga system na walang listener na iyon ay maaaring mahina sa mga katulad na pag-atake, at sinabi na ang pinakamahusay na solusyon ay isang patched kernel. Kung wala pa ring fixed kernel ang iyong distribution, inilathala ng Red Hat at AlmaLinux ang isang firewall rule na nagtatapon ng IPv4 TCP packets na nagdadala ng IP options. Sinabi ng Red Hat na binabawasan nito ang exposure at hindi ganap na mapipigilan ito. Pagkatapos nito, maghintay ka.

5:23 Ano ang gagawin ngayon. I-install ang fixed kernel ng iyong distribution at mag-reboot, sa mga container host at Kubernetes nodes din, dahil ang mga container ay nagbabahagi ng host kernel. Ang Debian, Suse at Amazon Linux ay mayroon nang mga fix. Kung hindi mo pa kayang mag-patch, magsimula sa mga host na nagpapatakbo ng multipath TCP listeners. Ngayon ang stopwatch na ipinangako ko. Sa sariling proof of concept ng Anthropic, tumatagal ng apatnapu't walong minuto upang makalabas ang isang

Balik sa stopwatch: gaano katagal inabot ang exploit?

5:44 kernel pointer, pagkatapos ay limang minuto pa upang magpatakbo ng shell command. Hindi pa nailalathala ng Anthropic ang exploit. Kung mas gusto mong basahin ito kaysa pakinggan ako, dumarating ang diff sa iyong inbox tuwing umaga, libre sa the daily diff dot dev, link sa ibaba. Kaya ang pasya ngayon ay REVERT.

Pasya: REVERT

6:02 I-revert ko ang ParticleDB, dahil ang payo ni Jepsen ay ihinto ang deployment, at i-patch ko ang kernel na iyon, dahil mayroon itong stopwatch. At iyan ang diff para ngayon. Ako si Niko mula sa Axrisi. Magsanib nang may pananagutan. Magsama nang responsable.

Mga Pinagmulan

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas