דוח ג'פסן על ParticleDB, כונן USB ביומטרי של לנובו, HackerTube של קרפתי ובאג ה-TCP של לינוקס CVE-2026-98432: ארבעה סיפורי מפתחים ב-Daily Diff אחד

מה מכסה הסרטון הזה

• ג'פסן, מעבדת בדיקות מסדי נתונים המנוהלת על ידי קייל קינגסברי, פרסמה את ניתוחה של ParticleDB ב-31 באוקטובר 2026. ParticleDB הוא מסד נתונים ב-Rust מבית Orkes המיועד לסוכני AI; Orkes מימנה את העבודה. ג'פסן בדקה את גרסאות 1.1.4 עד 1.1.18.11.rc-22 על צומת יחיד ומציגה 96 בעיות, רובן דרשו שרת אחד, לקוח אחד וללא תקלות. דוגמאות בדוח: סעיף WHERE 4 = 5 החזיר שורות עם מפתח ראשי 5, WHERE TRUE לא מצא כלום, ו-UPDATE יכול היה להשאיר מספר שורות עם אותו מפתח ראשי.
• דף הבית של ParticleDB פרסם 'Full ACID. 159K TPS.' והוכחת TLA+, אך ג'פסן אומר שלא הייתה מפרט TLA+ זמין במהלך שיתוף הפעולה, והטקסט תחת 'Full ACID' אמר 'בידוד תמונת מצב'. בגרסה 1.1.18.11.rc-22, הגרסה האחרונה שג'פסן בדקה, מצב טרנזקציית ה-occ ברירת המחדל עדיין איבד כתיבות מאושרות במהלך פעולה רגילה, ומצב הניתן לסדרות המחמיר ביותר אפשר עדכון שאבד לאחר הרג תהליכים. Orkes אומרת שגרסה 1.1.19-rc.13 פותרת את כל הבעיות הנותרות; ג'פסן לא העריכה אותה וממליצה למשתמשים לעצור פריסה נוספת של ParticleDB ולעבור למסדי נתונים אחרים.
• חוקר האבטחה שושנג לי מצא שכונן ה-USB הביומטרי של לנובו ThinkPlus FU100, ששווק כמוצפן חומרתית עם AES-256, הכיל כרטיס SD רגיל שנתוניו לא היו מוצפנים; קורא טביעות האצבע רק הפעיל את חיבור ה-USB. הוא דיווח על כך ב-2 באוגוסט 2025, והתיקון הראשון של לנובו היה שכבת אפוקסי מעל כרטיס ה-SD. לנובו דירגה את האזהרה שלה כגבוהה, ותיקון מאוחר יותר עבור ה-FU100 וכוננים קשורים דורש התקשרות לקו שירות בסין, ולאחר מכן החלפה או שדרוג קושחה באתר, לפי Tom's Hardware.
• במעקב שדווח על ידי Tom's Hardware, לי השתמש ב-OpenAI's Codex עם כלי ההנדסה ההפוכה של מעסיקו כנגד תוכנות הגנה של יצרני USB אחרים; של Netac ארך כשבע דקות מכיוון שהיה לו מפתח קבוע מובנה וכתב את הסיסמה ליומני אבחון, ולכונן של ספק אחר היו שני חשבונות נסתרים שלי מכנה דלתות אחוריות. עבור נתונים על כונן USB, הצפינו קבצים עם תוכנה שאתם שולטים בה לפני שהם מגיעים למכשיר.
• ב-31 באוקטובר 2026 אנדריי קרפתי תיאר את HackerTube, אתר בסגנון יוטיוב בכתובת hackertube.org שנבנה עם סוכן הקידוד שלו תוך כשעתיים. הסוכן הוריד את תגובות Hacker News, סינן ספאם ושמר כ-40,000 שהמליצו על סרטון יוטיוב, מה שהניב 6,454 סרטונים משנת 2007 עד 2026 על פני 150 נושאים. האתר מציג את הפריימים בנקודת ה-50 אחוז במקום את התמונה הממוזערת שהועלתה. קרפתי מפרט את הצעדים הידניים שלו כמפתח API של Google Cloud, שרת ודומיין.
• CVE-2026-98432 הוא use-after-free בלחיצת היד של IPv4 TCP בליבת לינוקס, בציון CVSS 9.8, נגיש על ידי עמית מרוחק ללא כניסה. התיקון של אריק דומזט החליף שתי קריאות kfree רגילות ב-kfree_rcu בקומיט מתאריך 1 באוקטובר; ליבות יציבות עם התיקון נשלחו ב-11 וב-15 באוקטובר, והבאג חוזר עד ללינוקס 4.4. Red Hat העלתה את הדירוג שלה מחשוב לקריטי ב-30 באוקטובר. אובונטו ו-Red Hat Enterprise Linux לא רשמו ליבה מתוקנת במוצאי שבת, 31 באוקטובר. התקינו את הליבה המתוקנת של ההפצה שלכם ואתחלו מחדש, כולל מארחי קונטיינרים, מכיוון שקונטיינרים חולקים את ליבת המארח.
• Anthropic אומרת שקלוד כתבה exploit עובד לשרתי לינוקס עם listener של multipath TCP, וכי בהוכחת הקונספט שלה לוקח 48 דקות לדלוף מצביע ליבה וחמש דקות נוספות להריץ פקודת מעטפת; ה-exploit אינו מפורסם. צוות האבטחה של Go מציין שתוכניות Go מאפשרות listeners של multipath TCP כברירת מחדל מאז Go 1.24 ומזהיר שמערכות ללא listener זה עלולות להיות פגיעות להתקפות דומות. Red Hat ו-AlmaLinux מפרסמות כלל חומת אש המפיל חבילות IPv4 TCP עם אפשרויות IP, שלדברי Red Hat מפחית חשיפה אך אינו מונע לחלוטין ניצול.

תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

פתיחה קרה: איך סעיף where אומר ארבע שווה לחמש?

0:00 מסד נתונים המפרסם Full ACID אמור לשמור את מה שאתה כותב. ג'פסן בדק אחד ומצא תשעים ושישה בעיות, כולל סעיף where ש אמר ארבע שווה לחמש ובכל זאת החזיר שורות. בסרטון זה, ארבעה סיפורים. מה ג'פסן מצא במסד נתונים שטען ל-Full ACID? מה היה בתוך כונן USB ביומטרי שנמכר כמוצפן? מה בנה אנדריי קרפתי בבוקר אחד? ומה אתם מתקנים עבור באג רשת של לינוקס?

0:26 אחד מהבאגים האלה מגיע עם שעון עצר. אקרא לכם את זה בסוף. יום ראשון, הראשון בנובמבר, וזה ה-Daily Diff. ג'פסן היא מעבדת הבדיקות של קייל קינגסברי. היא מפעילה מסד נתונים תחת עומסים ותקלות אמיתיים ובודקת האם ה הבטחות באתר מתקיימות. חשבו על מפקח שבאמת פותח את המקרר.

סיפור ראשון: מה ג'פסן מצא ב-ParticleDB?

0:44 סיפור ראשון. בשבת פרסם ג'פסן את הדו"ח שלו על ParticleDB, מסד נתונים ב-Rust מבית Orkes המיועד לסוכני AI. Orkes שילמה עבור העבודה. דף הבית אמר Full ACID, מאה חמישים ותשע אלף טרנזקציות ל שנייה. ג'פסן בדק את ParticleDB מהבנייה הראשונה שלו 1.1 ועד ל- מועמד לשחרור מאוחר. האתר כינה אותו מוכח פורמלית, עם הוכחת TLA פלוס. ג'פסן אומר שלא היה מפרט TLA פלוס זמין במהלך העבודה.

1:10 תחת השורה Full ACID, אותו עמוד אמר בידוד תמונת מצב, שאינו מבודד לחלוטין. הבאגים לא היו עדינים. רובם דרשו שרת אחד, לקוח אחד וללא הזרקת תקלות. סעיף where שאמר ארבע שווה לחמש החזיר שורות. סעיף where שאמר true לא מצא כלום. עדכונים השאירו שתי שורות עם אותו מפתח ראשי. הגרסה האחרונה שג'פסן בדק, מועמד לשחרור עשרים ושתיים,

1:36 הייתה הרבה יותר בטוחה. אף על פי כן, מצב הטרנזקציה ברירת המחדל איבד כתיבות מאושרות במהלך פעולה רגילה. המצב המחמיר ביותר עדיין אפשר עדכונים שאבדו לאחר הרג תהליך. Orkes אומרת שהגרסה הבאה שלה מתקנת את כל זה. ג'פסן לא בדק אותה. אז בגרסה האחרונה מסד נתונים שהבטיח Full ACID יכול היה לאבד כתיבה ש כבר התחייב אליה. המהירות, אני מניח, הייתה מצוינת.

2:00 העצה של ג'פסן ברורה. עצרו פריסה נוספת של ParticleDB ועברו למסד נתונים אחר בהקדם האפשרי. Orkes מאשימה refactor אביבי ואומרת שלקוחותיה שלה, בגרסה ישנה יותר, ככל הנראה לא הושפעו. מסמכי ההליך המאוחסן אפילו המציאו כתובת דוא"ל עבור קייל קינגסברי. סיפור שני. ה-Lenovo ThinkPlus FU מאה הוא כונן USB ביומטרי

סיפור שני: מה היה בתוך כונן ה-USB הביומטרי של לנובו?

2:21 ששווק כמוצפן חומרתית עם AES מאתיים חמישים ושישה. חוקר האבטחה שושנג לי פירק אחד ומצא כרטיס SD רגיל, ששום דבר עליו לא הוצפן. קורא טביעות האצבע החליט דבר אחד, האם הכונן התחבר ל מחשב. הקבצים בכרטיס מעולם לא היו תלויים בו. לי דיווח על הפגם ללנובו באוגוסט עשרים עשרים וחמש. התיקון הראשון היה שכבת אפוקסי מעל כרטיס ה-SD. אז הקבצים מעולם לא הוצפנו.

2:47 רגע, זה רק כרטיס SD? תמיד היה. לנובו דירגה את האזהרה שלה כגבוהה. התיקון המאוחר יותר, עבור ה-FU מאה ושלושה כוננים קשורים, משמעו להתקשר לקו שירות בסין, ולאחר מכן לשלוח את הכונן בחזרה או לקבל שדרוג קושחה באתר. לנובו מייעצת למחוק את הכונן תחילה. בשבוע שעבר לי הפנה את OpenAI's Codex, בתוספת כלי ההנדסה ההפוכה של מעסיקו,

3:09 לתוכנות הגנת USB של יצרנים אחרים. של Netac ארך כשבע דקות, מכיוון שהיה לו מפתח קבוע מובנה וכתב את הסיסמה ליומני אבחון. לכונן אחד היו שני חשבונות נסתרים שלי מכנה דלתות אחוריות. אם אבטחת כונן היא החומרה, בדוק זאת בעצמך. הצפינו את הקבצים עם תוכנה שאתם שולטים בה לפני שהם מגיעים לכונן, ותתייחסו לטביעת האצבע כנוחות.

סיפור שלישי: מה בנה קרפתי בבוקר אחד?

3:31 סיפור שלישי, הקל. בליל שישי פתח אנדריי קרפתי את יוטיוב, ראה מה שכינה "קיר של זוהמה שהפך לזוהמה", וביום שבת בבוקר אמר לסוכן הקידוד שלו לבנות תחליף מכל מה ש-Hacker News ממליץ. הסוכן הוריד את תגובות Hacker News, סינן ספאם, ושמר כארבעים אלף שהמליצו על סרטון יוטיוב. זה הותיר שישה אלפים ארבע מאות חמישים וארבעה סרטונים, משנת אלפיים ושבע ועד עכשיו, במאה וחמישים נושאים. האתר הוא hackertube נקודה org.

3:58 הוא מציג את הפריימים מאמצע הסרטון במקום התמונה הממוזערת שהמעלה בחר, מה שקצת צורב. קרפתי אומר שכל הבנייה ארכה כשעתיים. הצעדים הידניים היחידים שלו היו מפתח API של גוגל, שרת ודומיין. ב-12 באוקטובר סיפרתי לכם שקרפתי חושב שגישה ומשימות יוצרות פער ב כיצד אנשים מבינים את הכלים האלה. שעתיים עבודה הן נקודת נתונים הוגנת. סיפור רביעי, זה שצריך לפעול עליו.

4:21 CVE עשרים עשרים ושש, תשעים ושמונה ארבע מאות שלושים ושתיים הוא use-after-free ב

סיפור רביעי: מה אתם מתקנים עבור CVE-2026-98432?

4:23 לחיצת היד של I P v ארבע TCP של ליבת לינוקס, בציון תשע נקודה שמונה מתוך עשר. עמית מרוחק ללא כניסה יכול להגיע אליו. אריק דומאזט כתב את התיקון בראשון באוקטובר. התיקון הגיע לליבות יציבות באחד עשר ובחמישה עשר באוקטובר, והבאג חוזר עד ללינוקס ארבע נקודה ארבע. Red Hat העלתה את הדירוג שלה מחשוב לקריטי בשלושים באוקטובר. בערב שבת, אובונטו ו-Red Hat Enterprise Linux עדיין לא רשמו ליבה מתוקנת.

4:52 Anthropic אומרת שקלוד כתבה exploit עובד לשרתים עם listener של multipath TCP, ותוכניות Go פתחו אותם כברירת מחדל מאז Go אחד נקודה עשרים וארבע. צוות Go מזהיר שמערכות ללא listener זה עלולות להיות פגיעות ל התקפות דומות, ואומר שהתיקון הטוב ביותר הוא ליבה מתוקנת. אם להפצה שלכם אין עדיין ליבה מתוקנת, Red Hat ו-AlmaLinux מפרסמות כלל חומת אש המפיל חבילות I P v ארבע TCP הנושאות אפשרויות IP. Red Hat אומרת שזה מפחית חשיפה ולא יכול למנוע אותה לחלוטין. אחרי זה, אתם מחכים.

5:23 מה לעשות היום. התקינו את הליבה המתוקנת של ההפצה שלכם ואתחלו מחדש, גם במארחי קונטיינרים ו צמתי Kubernetes, מכיוון שקונטיינרים חולקים את ליבת המארח. דביאן, סוזה ואמזון לינוקס כבר יש תיקונים. אם אינכם יכולים לתקן עדיין, התחילו עם מארחים שמריצים listeners של multipath TCP. עכשיו שעון העצר שהבטחתי. בהוכחת הקונספט של Anthropic, לוקח ארבעים ושמונה דקות לדלוף

בחזרה לשעון העצר: כמה זמן ארך הניצול?

5:44 מצביע ליבה, ואז חמש דקות נוספות להריץ פקודת מעטפת. Anthropic לא פרסמה את ה-exploit. אם אתם מעדיפים לקרוא את זה מאשר לשמוע אותי אומר זאת, ה-diff נוחת בתיבת הדואר הנכנס שלכם בכל בוקר, בחינם ב-thedailydiff נקודה dev, קישור למטה. אז פסק הדין של היום הוא REVERT.

פסק דין: REVERT

6:02 הייתי מבצע REVERT ל-ParticleDB, מכיוון שעצתו של ג'פסן היא לעצור פריסה, והייתי מתקן את הליבה הזו, כי היא מגיעה עם שעון עצר. וזה ה-diff להיום. אני ניקו מ-Axrisi. מזגו באחריות. שלבו באחריות.

מקורות

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas