Rapport Jepsen de ParticleDB, clé USB "empreinte digitale" de Lenovo, HackerTube de Karpathy et la faille TCP de Linux CVE-2026-98432 : quatre histoires de développeurs dans un Daily Diff

Ce que couvre cette vidéo

• Jepsen, le laboratoire de test de bases de données dirigé par Kyle Kingsbury, a publié son analyse de ParticleDB le 31 octobre 2026. ParticleDB est une base de données Rust d'Orkes destinée aux agents IA ; Orkes a financé le travail. Jepsen a testé les versions 1.1.4 à 1.1.18.11.rc-22 sur un seul nœud et a présenté 96 problèmes, dont la plupart ne nécessitaient qu'un serveur, un client et aucune défaillance. Exemples dans le rapport : une clause WHERE 4 = 5 a renvoyé des lignes avec la clé primaire 5, WHERE TRUE n'a rien trouvé, et un UPDATE pouvait laisser plusieurs lignes avec la même clé primaire.
• La page d'accueil de ParticleDB annonçait "Full ACID. 159K TPS." et une preuve TLA+, mais Jepsen affirme qu'aucune spécification TLA+ n'était disponible pendant la collaboration, et le texte sous "Full ACID" mentionnait l'isolation par instantané. Dans la version 1.1.18.11.rc-22, la dernière version testée par Jepsen, le mode de transaction par défaut occ perdait toujours des écritures validées lors d'un fonctionnement normal, et le mode sérialisable le plus strict autorisait les mises à jour perdues après l'arrêt de processus. Orkes affirme que la version 1.1.19-rc.13 résout tous les problèmes restants ; Jepsen ne l'a pas évaluée et recommande aux utilisateurs d'arrêter tout déploiement de ParticleDB et de migrer vers d'autres bases de données.
• Le chercheur en sécurité Xusheng Li a découvert que la clé USB à empreinte digitale Lenovo ThinkPlus FU100, commercialisée comme étant chiffrée matériellement avec AES-256, contenait une carte SD ordinaire dont les données n'étaient pas chiffrées ; le lecteur d'empreintes digitales ne faisait qu'activer la connexion USB. Il l'a signalé le 2 août 2025, et la première solution de Lenovo a été une couche d'époxy sur la carte SD. Lenovo a classé son avis comme élevé, et une solution ultérieure pour le FU100 et les lecteurs associés nécessite d'appeler une ligne de service en Chine, puis un remplacement ou une mise à jour du firmware sur site, selon Tom's Hardware.
• Dans un suivi rapporté par Tom's Hardware, Li a utilisé Codex d'OpenAI avec l'outil de rétro-ingénierie de son employeur contre les logiciels de protection USB d'autres fabricants ; celui de Netac a pris environ sept minutes car il avait une clé fixe intégrée et écrivait le mot de passe dans les journaux de diagnostic, et le lecteur d'un autre fournisseur avait deux comptes cachés que Li appelle des portes dérobées. Pour les données sur une clé USB, chiffrez les fichiers avec un logiciel que vous contrôlez avant qu'ils n'atteignent l'appareil.
• Le 31 octobre 2026, Andrej Karpathy a décrit HackerTube, un site de style YouTube à l'adresse hackertube.org, construit avec son agent de codage en environ deux heures. L'agent a téléchargé les commentaires de Hacker News, filtré les spams et en a gardé environ 40 000 qui recommandent une vidéo YouTube, ce qui a donné 6 454 vidéos de 2007 à 2026 réparties sur 150 sujets. Le site affiche l'image à 50 % au lieu de la miniature téléchargée. Karpathy énumère ses étapes manuelles : une clé API Google Cloud, un serveur et un domaine.
• CVE-2026-98432 est une vulnérabilité d'utilisation après libération dans le "handshake" TCP IPv4 du noyau Linux, notée CVSS 9.8, accessible par un pair distant sans connexion. Le correctif d'Eric Dumazet a remplacé deux appels kfree simples par kfree_rcu dans un commit daté du 1er octobre ; les noyaux stables avec le correctif ont été livrés les 11 et 15 octobre, et le bogue remonte à Linux 4.4. Red Hat a rehaussé sa classification de "Important" à "Critique" le 30 octobre. Ubuntu et Red Hat Enterprise Linux ne répertoriaient aucun noyau corrigé le samedi soir 31 octobre. Installez le noyau corrigé de votre distribution et redémarrez, y compris les hôtes de conteneurs, car les conteneurs partagent le noyau de l'hôte.
• Anthropic affirme que Claude a écrit un exploit fonctionnel pour les serveurs Linux avec un écouteur TCP multipath, et que dans sa preuve de concept, il faut 48 minutes pour divulguer un pointeur de noyau et cinq minutes supplémentaires pour exécuter une commande shell ; l'exploit n'est pas publié. L'équipe de sécurité de Go note que les programmes Go activent les écouteurs TCP multipath par défaut depuis Go 1.24 et avertit que les systèmes sans cet écouteur peuvent être vulnérables à des attaques similaires. Red Hat et AlmaLinux publient une règle de pare-feu qui supprime les paquets TCP IPv4 avec des options IP, ce qui, selon Red Hat, réduit l'exposition et ne prévient pas entièrement l'exploitation.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Ouverture : comment une clause "where" dit-elle quatre égale cinq ?

0:00 Une base de données qui annonce le "Full ACID" est censée conserver ce que vous écrivez. Jepsen en a testé une et a trouvé quatre-vingt-seize problèmes, dont une clause "where" qui disait "quatre égale cinq" et renvoyait toujours des lignes. Dans cette vidéo, quatre histoires. Qu'a trouvé Jepsen dans une base de données qui revendiquait le "Full ACID" ? Qu'y avait-il à l'intérieur d'une clé USB à empreinte digitale vendue comme chiffrée ? Qu'a construit Andrej Karpathy en une matinée ? Et que corrigez-vous pour un bogue de réseau Linux ?

0:26 L'un de ces bogues est livré avec un chronomètre. Je vous le lirai à la fin. Nous sommes le dimanche 1er novembre, et voici The Daily Diff. Jepsen est le laboratoire de test de Kyle Kingsbury. Il soumet une base de données à des charges de travail et des défaillances réelles et vérifie si les garanties du site web sont tenues. Imaginez un inspecteur qui ouvre réellement le réfrigérateur.

Première histoire : qu'a trouvé Jepsen dans ParticleDB ?

0:44 Première histoire. Samedi, Jepsen a publié son rapport sur ParticleDB, une base de données Rust d'Orkes destinée aux agents IA. Orkes a financé le travail. La page d'accueil indiquait "Full ACID", cent cinquante-neuf mille transactions par seconde. Jepsen a testé ParticleDB depuis sa première version 1.1 jusqu'à une version candidate tardive. Le site le qualifiait de "formellement prouvé", avec une preuve TLA+. Jepsen dit qu'aucune spécification TLA+ n'était disponible pendant les travaux.

1:10 Sous la ligne "Full ACID", la même page indiquait "isolation par instantané", qui n'est pas entièrement isolée. Les bogues n'étaient pas subtils. La plupart nécessitaient un serveur, un client et aucune défaillance injectée. Une clause "where" qui disait "quatre égale cinq" renvoyait des lignes. Une clause "where" qui disait "true" ne correspondait à rien. Les mises à jour laissaient deux lignes avec la même clé primaire. La dernière version testée par Jepsen, la version candidate vingt-deux,

1:36 était beaucoup plus sûre. Malgré cela, le mode de transaction par défaut perdait des écritures validées lors d'un fonctionnement normal. Le mode le plus strict permettait toujours les mises à jour perdues après l'arrêt d'un processus. Orkes affirme que sa prochaine version corrige tout cela. Jepsen ne l'a pas testée. Donc, dans cette dernière version, une base de données qui promettait le "Full ACID" pouvait perdre une écriture qu'elle avait déjà validée. La vitesse, je suppose, était excellente.

2:00 Les conseils de Jepsen sont clairs. Arrêtez tout déploiement de ParticleDB et migrez vers une autre base de données dès que possible. Orkes impute cela à une refonte de printemps et affirme que ses propres clients, sur une version plus ancienne, n'ont probablement pas été affectés. Les documents de procédure stockée ont même inventé une adresse e-mail pour Kyle Kingsbury. Deuxième histoire. Le Lenovo ThinkPlus FU100 est une clé USB à empreinte digitale

Deuxième histoire : qu'y avait-il à l'intérieur de la clé USB à empreinte digitale Lenovo ?

2:21 commercialisée comme étant chiffrée matériellement avec AES-256. Le chercheur en sécurité Xusheng Li en a démonté une et a trouvé une carte SD ordinaire, sans rien de chiffré. Le lecteur d'empreintes digitales ne décidait qu'une chose : si la clé se connectait à l' ordinateur. Les fichiers sur la carte n'en ont jamais dépendu. Li a signalé la faille à Lenovo en août 2025. Le premier correctif a été une couche d'époxy sur la carte SD. Donc les fichiers n'ont jamais été chiffrés.

2:47 Attendez, c'est juste une carte SD ? Cela l'a toujours été. Lenovo a jugé son propre avis élevé. Le correctif ultérieur, pour le FU100 et trois lecteurs connexes, implique d'appeler une ligne de service en Chine, puis de renvoyer le lecteur ou d'obtenir une mise à jour du firmware sur site. Lenovo conseille d'effacer le lecteur au préalable. La semaine dernière, Li a utilisé Codex d'OpenAI, ainsi que l'outil de rétro-ingénierie de son employeur,

3:09 sur les logiciels de protection USB d'autres fabricants. Celui de Netac a pris environ sept minutes, car il avait une clé fixe intégrée et écrivait le mot de passe dans les journaux de diagnostic. Un lecteur avait deux comptes cachés que Li appelle des portes dérobées. Si la sécurité d'un lecteur est matérielle, vérifiez-le vous-même. Chiffrez les fichiers avec un logiciel que vous contrôlez avant qu'ils n'atteignent la clé, et traitez l'empreinte digitale comme une commodité.

Troisième histoire : qu'a construit Karpathy en une matinée ?

3:31 Troisième histoire, la légère. Vendredi soir, Andrej Karpathy a ouvert YouTube, a vu ce qu'il a appelé un mur de "slop" "enshittifié", et samedi matin a dit à son agent de codage de construire un remplacement à partir de tout ce que Hacker News recommande. L'agent a téléchargé les commentaires de Hacker News, filtré les spams, et en a conservé environ quarante mille qui recommandent une vidéo YouTube. Il restait six mille quatre cent cinquante-quatre vidéos, de deux mille sept à aujourd'hui, dans cent cinquante sujets.

3:58 Le site est hackertube.org. Il affiche l'image à mi-parcours au lieu de la miniature choisie par l'uploadeur, ce qui est un peu vexant. Karpathy dit que la construction entière a pris environ deux heures. Ses seules étapes manuelles ont été une clé API Google, un serveur et un domaine. Le douze octobre, je vous ai dit que Karpathy pensait que l'accès et les tâches créaient un écart dans la façon dont les gens comprennent ces outils. Deux heures de travail, c'est un bon point de données.

4:21 Quatrième histoire, celle sur laquelle agir.

Quatrième histoire : que corrigez-vous pour CVE-2026-98432 ?

4:23 CVE 2026, 98432 est une utilisation après libération dans le "handshake" TCP IPv4 du noyau Linux, notée neuf virgule huit sur dix. Un pair distant sans connexion peut l'atteindre. Eric Dumazet a écrit le correctif le 1er octobre. Le correctif a atteint les noyaux stables les 11 et 15 octobre, et le bogue remonte à Linux 4.4. Red Hat a rehaussé sa classification d'"important" à "critique" le 30 octobre. Le samedi soir, Ubuntu et Red Hat Enterprise Linux ne répertoriaient toujours aucun noyau

4:52 corrigé. Anthropic affirme que Claude a écrit un exploit fonctionnel pour les serveurs avec un écouteur TCP multipath, et les programmes Go l'ont activé par défaut depuis Go 1.24. L'équipe Go avertit que les systèmes sans cet écouteur peuvent être vulnérables à des attaques similaires, et dit que la meilleure solution est un noyau patché. Si votre distribution n'a pas encore de noyau corrigé, Red Hat et AlmaLinux publient une règle de pare-feu qui supprime les paquets TCP IPv4 contenant des options IP. Red Hat dit que cela réduit l'exposition et ne peut pas l'empêcher totalement.

5:23 Après cela, vous attendez. Que faire aujourd'hui. Installez le noyau corrigé de votre distribution et redémarrez, sur les hôtes de conteneurs et les nœuds Kubernetes aussi, car les conteneurs partagent le noyau de l'hôte. Debian, Suse et Amazon Linux ont déjà des correctifs. Si vous ne pouvez pas patcher tout de suite, commencez par les hôtes qui exécutent des écouteurs TCP multipath. Maintenant le chronomètre que j'ai promis.

Retour au chronomètre : combien de temps a pris l'exploit ?

5:44 Dans la preuve de concept d'Anthropic, il faut quarante-huit minutes pour divulguer un pointeur de noyau, puis cinq minutes supplémentaires pour exécuter une commande shell. Anthropic n'a pas publié l'exploit. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception chaque matin, gratuitement sur thedailydiff.dev, lien ci-dessous.

Verdict : REVERT

6:02 Donc le verdict d'aujourd'hui est REVERT. Je reviendrais sur ParticleDB, car le conseil de Jepsen est d'arrêter le déploiement, et je patcherais ce noyau, car il est livré avec un chronomètre. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas