O informe Jepsen de ParticleDB, o lapis USB con pegada dixital de Lenovo, o HackerTube de Karpathy e o erro TCP de Linux CVE-2026-98432: catro historias de desenvolvedores nun só Daily Diff

Que abrangue este vídeo

• Jepsen, o laboratorio de probas de bases de datos dirixido por Kyle Kingsbury, publicou a súa análise de ParticleDB o 31 de outubro de 2026. ParticleDB é unha base de datos Rust de Orkes dirixida a axentes de IA; Orkes financiou o traballo. Jepsen probou as versións 1.1.4 ata 1.1.18.11.rc-22 nun único nodo e presenta 96 problemas, a maioría dos cales necesitaban un servidor, un cliente e ningunha falla. Exemplos no informe: unha cláusula WHERE 4 = 5 devolvía filas con clave primaria 5, WHERE TRUE non coincidía con nada, e unha UPDATE podía deixar varias filas coa mesma clave primaria.
• A páxina de inicio de ParticleDB anunciaba 'Full ACID. 159K TPS.' e unha proba TLA+, pero Jepsen di que non había dispoñible ningunha especificación TLA+ durante a colaboración, e o texto baixo 'Full ACID' dicía illamento instantáneo. Na versión 1.1.18.11.rc-22, a última versión que Jepsen probou, o modo de transacción occ predeterminado seguía perdendo escrituras comprometidas durante o funcionamento normal, e o modo serializable máis estrito permitía a actualización perdida despois da eliminación de procesos. Orkes di que a versión 1.1.19-rc.13 resolve todos os problemas restantes; Jepsen non a avaliou e recomenda que os usuarios deteñan o despregue de ParticleDB e migren a outras bases de datos.
• O investigador de seguridade Xusheng Li descubriu que o lapis USB con pegada dixital Lenovo ThinkPlus FU100, comercializado como cifrado por hardware con AES-256, contiña unha tarxeta SD normal cuxos datos non estaban cifrados; o lector de pegadas dixitais só activaba a conexión USB. El informouno o 2 de agosto de 2025, e a primeira solución de Lenovo foi unha capa de epoxi sobre a tarxeta SD. Lenovo cualificou o seu aviso como alto, e unha solución posterior para o FU100 e unidades relacionadas require chamar a unha liña de servizo en China, e logo unha substitución ou unha actualización de firmware no lugar, segundo Tom's Hardware.
• Nun seguimento informado por Tom's Hardware, Li utilizou o Codex de OpenAI coa ferramenta de enxeñaría inversa do seu empregador contra o software de protección USB doutros fabricantes; o de Netac tardou uns sete minutos porque tiña unha clave fixa incorporada e escribía o contrasinal nos rexistros de diagnóstico, e a unidade doutro provedor tiña dúas contas ocultas que Li chama portas traseiras. Para os datos nunha memoria USB, cifre os ficheiros co software que controla antes de que cheguen ao dispositivo.
• O 31 de outubro de 2026, Andrej Karpathy describiu HackerTube, un sitio de estilo YouTube en hackertube.org construído co seu axente de codificación en aproximadamente dúas horas. O axente descargou os comentarios de Hacker News, filtrou o spam e conservou uns 40.000 que recomendaban un vídeo de YouTube, o que resultou en 6.454 vídeos de 2007 a 2026 en 150 temas. O sitio mostra o fotograma na marca do 50 por cento en lugar da miniatura cargada. Karpathy enumera os seus pasos manuais como unha clave de API de Google Cloud, un servidor e un dominio.
• CVE-2026-98432 é un uso despois da liberación no protocolo de enlace TCP IPv4 do kernel de Linux, cunha puntuación CVSS de 9,8, accesible por un par remoto sen necesidade de inicio de sesión. A corrección de Eric Dumazet substituíu dúas chamadas kfree simples por kfree_rcu nun commit con data do 1 de outubro; os kernels estables coa corrección foron enviados o 11 e o 15 de outubro, e o erro remóntase a Linux 4.4. Red Hat elevou a súa clasificación de Importante a Crítica o 30 de outubro. Ubuntu e Red Hat Enterprise Linux non listaron ningún kernel corrixido o sábado pola noite, 31 de outubro. Instale o kernel corrixido da súa distribución e reinicie, incluíndo os hosts de contedores, porque os contedores comparten o kernel do host.
• Anthropic di que Claude escribiu un exploit funcional para servidores Linux cunha escoita TCP de múltiples rutas, e que na súa proba de concepto tarda 48 minutos en filtrar un punteiro do kernel e cinco minutos máis en executar un comando de shell; o exploit non está publicado. O equipo de seguridade de Go observa que os programas Go activan as escoitas TCP de múltiples rutas por defecto desde Go 1.24 e advirte que os sistemas sen esa escoita poden ser vulnerables a ataques similares. Red Hat e AlmaLinux publican unha regra de firewall que descarta os paquetes TCP IPv4 con opcións IP, o que Red Hat di que reduce a exposición e non evita completamente a explotación.

Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

Apertura en frío: como unha cláusula where di que catro é igual a cinco?

0:00 Unha base de datos que anuncia Full ACID suponse que garda o que escribes. Jepsen probou unha e atopou noventa e seis problemas, incluíndo unha cláusula where que dicía catro igual a cinco e aínda devolvía filas. Neste vídeo, catro historias. Que atopou Jepsen nunha base de datos que afirmaba Full ACID? Que había dentro dunha memoria USB con pegada dixital vendida como cifrada? Que construíu Andrej Karpathy nunha mañá? E que parcheas para un erro de rede de Linux?

0:26 Un deses erros vén cun cronómetro. Leocho ao final. É domingo, primeiro de novembro, e isto é The Daily Diff. Jepsen é o laboratorio de probas de Kyle Kingsbury. Executa unha base de datos a través de cargas de traballo e fallos reais e comproba se as garantías do sitio web se cumpren. Pensa nun inspector que realmente abre a neveira.

Primeira historia: que atopou Jepsen en ParticleDB?

0:44 Primeira historia. O sábado Jepsen publicou o seu informe sobre ParticleDB, unha base de datos Rust de Orkes dirixida a axentes de IA. Orkes pagou polo traballo. A páxina de inicio dicía Full ACID, cento cincuenta e nove mil transaccións por segundo. Jepsen probou ParticleDB desde a súa primeira compilación un punto un ata un candidato a lanzamento tardío. O sitio chamouno formalmente probado, cunha proba TLA plus. Jepsen di que non había dispoñible ningunha especificación TLA plus durante o traballo.

1:10 Baixo a liña Full ACID, a mesma páxina dicía illamento instantáneo, que non está totalmente illado. Os erros non eran sutís. A maioría necesitaban un servidor, un cliente e ningunha falla inxectada. Unha cláusula where que dicía catro igual a cinco devolvía filas. Unha cláusula where que dicía verdadeiro non coincidía con nada. As actualizacións deixaban dúas filas coa mesma clave primaria. A última versión que Jepsen probou, o candidato a lanzamento vinte e dous,

1:36 era moito máis segura. Aínda así, o modo de transacción predeterminado perdía escrituras comprometidas durante o funcionamento normal. O modo máis estrito aínda permitía actualizacións perdidas despois da eliminación dun proceso. Orkes di que a súa próxima versión soluciona todo isto. Jepsen non o probou. Así que nesa última versión unha base de datos que prometía Full ACID podería perder unha escritura que xa comprometera. A velocidade, supoño, era excelente.

2:00 O consello de Jepsen é claro. Deter o despregue de ParticleDB e migrar a outra base de datos canto antes posible. Orkes culpa a unha refactorización de primavera e di que os seus propios clientes, nunha versión anterior, probablemente non foron afectados. Os documentos de procedementos almacenados incluso inventaron un enderezo de correo electrónico para Kyle Kingsbury. Segunda historia. O Lenovo ThinkPlus FU cen é unha memoria USB con pegada dixital

Segunda historia: que había dentro da memoria USB con pegada dixital de Lenovo?

2:21 comercializada como cifrada por hardware con AES dous cincuenta e seis. O investigador de seguridade Xusheng Li desmontou unha e atopou unha tarxeta SD ordinaria, sen nada nela cifrado. O lector de pegadas dixitais decidía unha cousa, se a memoria se conectaba ao ordenador. Os ficheiros da tarxeta nunca dependían diso. Li informou da falla a Lenovo en agosto de dous mil vinte e cinco. A primeira solución foi unha capa de epoxi sobre a tarxeta SD. Así que os ficheiros nunca foron cifrados.

2:47 Agarda, é só unha tarxeta SD? Sempre o foi. Lenovo cualificou o seu propio aviso como alto. A solución posterior, para o FU cen e tres unidades relacionadas, significa chamar a unha liña de servizo en China, e logo ou enviar a unidade de volta ou obter unha actualización de firmware no lugar. Lenovo aconsella borrar a unidade primeiro. A semana pasada, Li dirixiu o Codex de OpenAI, ademais da ferramenta de enxeñería inversa do seu

3:09 empregador, ao software de protección USB doutros fabricantes. O de Netac levou uns sete minutos, porque tiña unha clave fixa incorporada e escribía o contrasinal nos rexistros de diagnóstico. Unha unidade tiña dúas contas ocultas que Li chama portas traseiras. Se a seguridade dunha unidade é o hardware, comproba ti mesmo. Cifra os ficheiros co software que controlas antes de que cheguen á memoria, e trata a pegada dixital como unha comodidade.

Terceira historia: que construíu Karpathy nunha mañá?

3:31 Terceira historia, a lixeira. O venres pola noite, Andrej Karpathy abriu YouTube, viu o que chamou unha parede de porcallada enfarrapada, e o sábado pola mañá díxolle ao seu axente de codificación que construíse un substituto a partir do que recomendase Hacker News. O axente descargou os comentarios de Hacker News, filtrou o spam, e gardou uns corenta mil que recomendaban un vídeo de YouTube. Iso deixou seis mil catrocentos cincuenta e catro vídeos, desde dous mil sete ata agora, en cento cincuenta temas.

3:58 O sitio é hackertube punto org. Mostra o fotograma do punto intermedio en lugar da miniatura que o cargador escolleu, o que pica un pouco. Karpathy di que toda a construción levou unhas dúas horas. Os seus únicos pasos manuais foron unha clave API de Google, un servidor e un dominio. O doce de outubro díxenche que Karpathy pensa que o acceso e as tarefas crean unha brecha en como a xente entende estas ferramentas. Dúas horas de traballo son un bo punto de datos.

4:21 Cuarta historia, a que hai que actuar.

Cuarta historia: que parcheas para CVE-2026-98432?

4:23 CVE vinte e seis, noventa e oito catrocentos trinta e dous é un use-after-free no protocolo de enlace TCP IPv4 do kernel de Linux, cunha puntuación de nove punto oito sobre dez. Un par remoto sen inicio de sesión pode acceder a el. Eric Dumazet escribiu a solución o primeiro de outubro. A solución chegou aos kernels estables o once e o quince de outubro, e o erro remóntase a Linux catro punto catro. Red Hat elevou a súa clasificación de importante a crítica o trinta de outubro. O sábado pola noite, Ubuntu e Red Hat Enterprise Linux aínda non listaban ningún kernel

4:52 corrixido. Anthropic di que Claude escribiu un exploit funcional para servidores cunha escoita TCP de múltiples rutas, e os programas Go abriron eses por defecto desde Go un punto vinte catro. O equipo de Go advirte que os sistemas sen esa escoita poden ser vulnerables a ataques similares, e di que a mellor solución é un kernel parcheado. Se a túa distribución aínda non ten un kernel corrixido, Red Hat e AlmaLinux publican unha regra de firewall que descarta os paquetes TCP IPv4 que conteñan opcións IP. Red Hat di que reduce a exposición e non pode impedila por completo.

5:23 Despois diso, agardas. Que facer hoxe. Instale o kernel corrixido da súa distribución e reinicie, nos hosts de contedores e nodos de Kubernetes tamén, porque os contedores comparten o kernel do host. Debian, Suse e Amazon Linux xa teñen solucións. Se aínda non podes parchear, comeza polos hosts que executan escoitas TCP multipath. Agora o cronómetro que prometín.

De volta ao cronómetro: canto tardou o exploit?

5:44 Na propia proba de concepto de Anthropic, leva corenta e oito minutos filtrar un punteiro do kernel, e despois cinco minutos máis para executar un comando de shell. Anthropic non publicou o exploit. Se prefires ler isto que escoitarme dicilo, o diff chega á túa caixa de entrada cada mañá, gratis en the daily diff dot dev, ligazón debaixo.

Veredicto: REVERT

6:02 Así que o veredicto de hoxe é REVERT. Eu revertería ParticleDB, porque o consello de Jepsen é deter o despregamento, e parchearía ese kernel, porque vén cun cronómetro. E ese é o diff de hoxe. Son Niko de Axrisi. Fusionar con responsabilidade.

Fontes

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas