पार्टिकलडीबी की जेपसेन रिपोर्ट, लेनोवो की फ़िंगरप्रिंट यूएसबी स्टिक, करपाथी का हैकरट्यूब और लिनक्स टीसीपी बग CVE-2026-98432: एक डेली डिफ में चार डेवलपर कहानियाँ

इस वीडियो में क्या शामिल है

• काइल किंग्सबरी द्वारा संचालित डेटाबेस परीक्षण प्रयोगशाला जेपसेन ने 31 अक्टूबर, 2026 को पार्टिकलडीबी पर अपना विश्लेषण प्रकाशित किया। पार्टिकलडीबी ऑर्केस का एक रस्ट डेटाबेस है जिसका लक्ष्य एआई एजेंट हैं; ऑर्केस ने इस कार्य के लिए धन दिया। जेपसेन ने संस्करण 1.1.4 से 1.1.18.11.rc-22 तक का एक एकल नोड पर परीक्षण किया और 96 समस्याएँ प्रस्तुत कीं, जिनमें से अधिकांश के लिए एक सर्वर, एक क्लाइंट और कोई गलती नहीं थी। रिपोर्ट में उदाहरण: एक WHERE 4 = 5 खंड ने प्राथमिक कुंजी 5 के साथ पंक्तियों को लौटाया, WHERE TRUE ने कुछ भी नहीं मिलाया, और एक UPDATE एक ही प्राथमिक कुंजी के साथ कई पंक्तियों को छोड़ सकता था।
• पार्टिकलडीबी होम पेज ने 'पूर्ण ACID। 159K TPS।' और एक TLA+ प्रूफ का विज्ञापन किया था, लेकिन जेपसेन का कहना है कि सहयोग के दौरान कोई TLA+ विशिष्टता उपलब्ध नहीं थी, और 'पूर्ण ACID' के तहत पाठ में स्नैपशॉट आइसोलेशन का उल्लेख था। 1.1.18.11.rc-22 में, जेपसेन द्वारा परीक्षण किए गए अंतिम संस्करण में, डिफ़ॉल्ट occ लेनदेन मोड अभी भी सामान्य ऑपरेशन के दौरान कमिटेड राइट्स खो देता था, और सबसे सख्त सीरियलाइजेबल मोड प्रक्रिया समाप्त होने के बाद लॉस्ट अपडेट की अनुमति देता था। ऑर्केस का कहना है कि संस्करण 1.1.19-rc.13 सभी शेष मुद्दों को हल करता है; जेपसेन ने इसका मूल्यांकन नहीं किया है और उपयोगकर्ताओं को पार्टिकलडीबी के आगे परिनियोजन को रोकने और अन्य डेटाबेस में माइग्रेट करने की सलाह देता है।
• सुरक्षा शोधकर्ता शुशेंग ली ने पाया कि लेनोवो थिंकप्लस FU100 फिंगरप्रिंट यूएसबी स्टिक, जिसे एईएस-256 के साथ हार्डवेयर एन्क्रिप्टेड के रूप में विपणन किया गया था, में एक साधारण एसडी कार्ड था जिसका डेटा एन्क्रिप्टेड नहीं था; फिंगरप्रिंट रीडर ने केवल यूएसबी कनेक्शन को चालू किया। उन्होंने 2 अगस्त, 2025 को इसकी सूचना दी, और लेनोवो का पहला फिक्स एसडी कार्ड पर इपॉक्सी की एक परत थी। लेनोवो ने अपनी सलाह को उच्च दर्जा दिया, और FU100 और संबंधित ड्राइव के लिए एक बाद के फिक्स के लिए चीन में एक सेवा लाइन पर कॉल करना, फिर एक प्रतिस्थापन या ऑन-साइट फर्मवेयर अपग्रेड की आवश्यकता होती है, जैसा कि टॉम्स हार्डवेयर द्वारा रिपोर्ट किया गया है।
• टॉम्स हार्डवेयर द्वारा रिपोर्ट की गई एक फॉलो-अप में, ली ने अन्य निर्माताओं के यूएसबी सुरक्षा सॉफ्टवेयर के खिलाफ अपने नियोक्ता के रिवर्स इंजीनियरिंग टूल के साथ OpenAI के कोडक्स का उपयोग किया; नेटाक को लगभग सात मिनट लगे क्योंकि इसमें एक निश्चित कुंजी अंतर्निहित थी और उसने पासवर्ड को डायग्नोस्टिक लॉग में लिखा, और एक अन्य विक्रेता के ड्राइव में दो छिपे हुए खाते थे जिन्हें ली बैकडोर कहते हैं। यूएसबी स्टिक पर डेटा के लिए, डिवाइस तक पहुंचने से पहले अपनी नियंत्रित सॉफ्टवेयर के साथ फ़ाइलों को एन्क्रिप्ट करें।
• 31 अक्टूबर, 2026 को आंद्रेज करपाथी ने हैकरट्यूब का वर्णन किया, जो hackertube.org पर एक YouTube-शैली की साइट है जिसे उन्होंने लगभग दो घंटे में अपने कोडिंग एजेंट के साथ बनाया था। एजेंट ने हैकर न्यूज़ टिप्पणियों को डाउनलोड किया, स्पैम को फ़िल्टर किया और लगभग 40,000 को रखा जो एक YouTube वीडियो की सिफारिश करते हैं, जिससे 2007 से 2026 तक 150 विषयों पर 6,454 वीडियो प्राप्त हुए। साइट अपलोड किए गए थंबनेल के बजाय 50 प्रतिशत के निशान पर फ़्रेम दिखाती है। करपाथी ने अपने मैन्युअल चरणों को एक गूगल क्लाउड एपीआई कुंजी, एक सर्वर और एक डोमेन के रूप में सूचीबद्ध किया।
• CVE-2026-98432 लिनक्स कर्नेल के IPv4 TCP हैंडशेक में एक यूज़-आफ्टर-फ्री है, जिसका CVSS स्कोर 9.8 है, जो लॉगिन के बिना एक दूरस्थ पीयर द्वारा पहुंचा जा सकता है। एरिक डुमाज़ेट के फिक्स ने 1 अक्टूबर को एक कमिट में दो सादे kfree कॉल को kfree_rcu से बदल दिया; फिक्स के साथ स्थिर कर्नेल 11 और 15 अक्टूबर को शिप किए गए, और बग लिनक्स 4.4 से वापस चला गया है। रेड हैट ने 30 अक्टूबर को अपनी रेटिंग को महत्वपूर्ण से गंभीर तक बढ़ा दिया। शनिवार शाम, 31 अक्टूबर को उबंटू और रेड हैट एंटरप्राइज़ लिनक्स ने कोई फिक्स्ड कर्नेल सूचीबद्ध नहीं किया। अपने वितरण का फिक्स्ड कर्नेल स्थापित करें और रीबूट करें, जिसमें कंटेनर होस्ट भी शामिल हैं, क्योंकि कंटेनर होस्ट कर्नेल साझा करते हैं।
• एंथ्रोपिक का कहना है कि क्लाउड ने मल्टीपाथ टीसीपी लिसनर वाले लिनक्स सर्वर के लिए एक काम करने वाला एक्सप्लॉइट लिखा है, और उसके प्रूफ ऑफ कॉन्सेप्ट में कर्नेल पॉइंटर लीक करने में 48 मिनट और शेल कमांड चलाने में पांच मिनट और लगते हैं; एक्सप्लॉइट प्रकाशित नहीं किया गया है। गो सिक्योरिटी टीम का कहना है कि गो 1.24 के बाद से गो प्रोग्राम डिफ़ॉल्ट रूप से मल्टीपाथ टीसीपी लिसनर को सक्षम करते हैं और चेतावनी देते हैं कि उस लिसनर के बिना सिस्टम समान हमलों के प्रति संवेदनशील हो सकते हैं। रेड हैट और अल्मा लिनक्स एक फ़ायरवॉल नियम प्रकाशित करते हैं जो आईपी विकल्पों के साथ IPv4 टीसीपी पैकेट को छोड़ देता है, जिसे रेड हैट का कहना है कि यह जोखिम को कम करता है और शोषण को पूरी तरह से नहीं रोकता है।

अनुवादित प्रतिलेख

मूल अंग्रेजी कथन से अनुवादित। उपलब्ध ऑडियो और कैप्शन YouTube द्वारा नियंत्रित होते हैं।

कोल्ड ओपन: एक वेयर क्लॉज़ कैसे कहता है चार बराबर पाँच?

0:00 एक डेटाबेस जो पूर्ण ACID का विज्ञापन करता है, उसे आपकी लिखी हुई चीज़ों को रखना चाहिए। जेपसेन ने एक का परीक्षण किया और छियानवे मुद्दे पाए, जिसमें एक वेयर क्लॉज़ भी था जो कहता था चार बराबर पाँच और फिर भी पंक्तियाँ लौटाता था। इस वीडियो में, चार कहानियाँ। जेपसेन को एक डेटाबेस में क्या मिला जिसने पूर्ण ACID का दावा किया था? एन्क्रिप्टेड के रूप में बेची गई फ़िंगरप्रिंट यूएसबी स्टिक के अंदर क्या था? आंद्रेज करपाथी ने एक सुबह में क्या बनाया? और लिनक्स नेटवर्किंग बग के लिए आप क्या पैच करते हैं?

0:26 उन बगों में से एक स्टॉपवॉच के साथ आता है। मैं इसे आपको अंत में पढ़कर सुनाऊंगा। यह रविवार, 1 नवंबर है, और यह द डेली डिफ है। जेपसेन काइल किंग्सबरी की परीक्षण प्रयोगशाला है। यह एक डेटाबेस को वास्तविक कार्यभार और विफलताओं के माध्यम से चलाता है और जांचता है कि वेबसाइट पर दी गई गारंटियाँ बनी रहती हैं या नहीं। एक निरीक्षक के बारे में सोचें जो वास्तव में फ्रिज खोलता है।

कहानी एक: जेपसेन को पार्टिकलडीबी में क्या मिला?

0:44 कहानी एक। शनिवार को जेपसेन ने पार्टिकलडीबी पर अपनी रिपोर्ट प्रकाशित की, ओर्केस का एक रस्ट डेटाबेस जिसका लक्ष्य एआई एजेंट हैं। ओर्केस ने इस काम के लिए भुगतान किया। होम पेज पर लिखा था पूर्ण ACID, एक लाख उनसठ हज़ार लेनदेन प्रति सेकंड। जेपसेन ने पार्टिकलडीबी का उसके पहले एक बिंदु एक बिल्ड से एक देर के रिलीज़ कैंडिडेट तक परीक्षण किया। साइट ने इसे औपचारिक रूप से प्रमाणित कहा था, एक TLA प्लस प्रूफ के साथ। जेपसेन का कहना है कि काम के दौरान कोई TLA प्लस विशिष्टता उपलब्ध नहीं थी।

1:10 पूर्ण ACID पंक्ति के तहत, उसी पृष्ठ पर स्नैपशॉट आइसोलेशन लिखा था, जो पूरी तरह से अलग नहीं है। बग सूक्ष्म नहीं थे। अधिकांश के लिए एक सर्वर, एक क्लाइंट और कोई विफलताएँ इंजेक्ट नहीं करनी पड़ीं। एक वेयर क्लॉज़ जिसने चार बराबर पाँच कहा था, पंक्तियों को लौटाया। एक वेयर क्लॉज़ जिसने सत्य कहा था, कुछ भी नहीं मिलाया। अपडेट्स ने दो पंक्तियों को एक ही प्राथमिक कुंजी के साथ छोड़ दिया। जेपसेन द्वारा परीक्षण किया गया अंतिम रिलीज़, रिलीज़ कैंडिडेट बाईस,

1:36 कहीं अधिक सुरक्षित था। फिर भी, डिफ़ॉल्ट लेनदेन मोड सामान्य ऑपरेशन के दौरान कमिटेड राइट्स खो देता था। सबसे सख्त मोड अभी भी प्रक्रिया समाप्त होने के बाद खोए हुए अपडेट की अनुमति देता था। ओर्केस का कहना है कि उसका अगला रिलीज़ यह सब ठीक कर देगा। जेपसेन ने इसका परीक्षण नहीं किया है। तो उस अंतिम रिलीज़ में एक डेटाबेस जिसने पूर्ण ACID का वादा किया था, एक राइट को खो सकता था जिसे उसने पहले ही कमिट कर दिया था। गति, मुझे लगता है, उत्कृष्ट थी।

2:00 जेपसेन की सलाह स्पष्ट है। पार्टिकलडीबी के आगे परिनियोजन को रोकें और जितनी जल्दी हो सके अन्य डेटाबेस में माइग्रेट करें। ओर्केस एक स्प्रिंग रीफ़ैक्टर को दोषी ठहराता है और कहता है कि उसके अपने ग्राहक, एक पुराने संस्करण पर, शायद अप्रभावित थे। स्टोर्ड प्रोसीजर डॉक्स ने काइल किंग्सबरी के लिए एक ईमेल पता भी बनाया था। कहानी दो। लेनोवो थिंकप्लस एफयू सौ एक फिंगरप्रिंट यूएसबी स्टिक है

कहानी दो: लेनोवो फिंगरप्रिंट यूएसबी स्टिक के अंदर क्या था?

2:21 जिसे एईएस दो सौ छप्पन के साथ हार्डवेयर एन्क्रिप्टेड के रूप में विपणन किया गया था। सुरक्षा शोधकर्ता शुशेंग ली ने एक को खोला और एक साधारण एसडी कार्ड पाया, जिस पर कुछ भी एन्क्रिप्टेड नहीं था। फिंगरप्रिंट रीडर ने एक बात तय की, कि स्टिक कंप्यूटर से जुड़ी है या नहीं। कार्ड पर फ़ाइलें कभी भी इस पर निर्भर नहीं करती थीं। ली ने अगस्त दो हज़ार पच्चीस में लेनोवो को इस खामी की सूचना दी। पहला फिक्स एसडी कार्ड पर इपॉक्सी की एक परत थी। तो फ़ाइलें कभी एन्क्रिप्टेड नहीं थीं।

2:47 रुको, यह सिर्फ एक एसडी कार्ड है? हमेशा से रहा है। लेनोवो ने अपनी सलाह को उच्च दर्जा दिया। बाद का फिक्स, एफयू सौ और तीन संबंधित ड्राइव के लिए, चीन में एक सेवा लाइन पर कॉल करने का मतलब है, फिर या तो ड्राइव वापस भेजना या ऑन-साइट फ़र्मवेयर अपग्रेड प्राप्त करना। लेनोवो पहले ड्राइव को वाइप करने की सलाह देता है। पिछले सप्ताह ली ने OpenAI के कोडक्स, साथ ही अपने नियोक्ता के रिवर्स इंजीनियरिंग

3:09 टूल को अन्य निर्माताओं के यूएसबी सुरक्षा सॉफ्टवेयर पर लगाया। नेटाक को लगभग सात मिनट लगे, क्योंकि इसमें एक निश्चित कुंजी अंतर्निहित थी और उसने पासवर्ड को डायग्नोस्टिक लॉग में लिखा। एक ड्राइव में दो छिपे हुए खाते थे जिन्हें ली बैकडोर कहते हैं। यदि ड्राइव की सुरक्षा हार्डवेयर है, तो इसे स्वयं जांचें। फ़ाइलों को उस सॉफ़्टवेयर से एन्क्रिप्ट करें जिसे आप नियंत्रित करते हैं, इससे पहले कि वे स्टिक तक पहुँचें, और फ़िंगरप्रिंट को एक सुविधा के रूप में मानें।

कहानी तीन: करपाथी ने एक सुबह में क्या बनाया?

3:31 कहानी तीन, हल्की वाली। शुक्रवार रात आंद्रेज करपाथी ने यूट्यूब खोला, जिसे उन्होंने "एनशिटिफाइड वॉल ऑफ़ स्लोप" कहा, और शनिवार सुबह अपने कोडिंग एजेंट को जो भी हैकर न्यूज़ सुझाता है, उससे एक प्रतिस्थापन बनाने के लिए कहा। एजेंट ने हैकर न्यूज़ टिप्पणियों को डाउनलोड किया, स्पैम को फ़िल्टर किया, और लगभग चालीस हज़ार को रखा जो एक यूट्यूब वीडियो की सिफारिश करते हैं। उससे छह हज़ार चार सौ चौवन वीडियो बचे, दो हज़ार सात से अब तक, एक सौ पचास विषयों में। साइट है hackertube dot org।

3:58 यह अपलोडर द्वारा चुने गए थंबनेल के बजाय आधे निशान से फ़्रेम दिखाता है, जो थोड़ा चुभता है। करपाथी कहते हैं कि पूरा निर्माण लगभग दो घंटे में हो गया। उनके केवल मैन्युअल कदम एक गूगल एपीआई कुंजी, एक सर्वर और एक डोमेन थे। बारह अक्टूबर को मैंने आपको बताया था कि करपाथी सोचते हैं कि पहुंच और कार्य लोगों को इन उपकरणों को समझने में एक अंतर पैदा करते हैं। दो घंटे का काम एक अच्छा डेटा पॉइंट है। कहानी चार, जिस पर कार्य करना है।

4:21 CVE दो हज़ार छब्बीस, अट्ठानवे चार सौ बत्तीस लिनक्स कर्नेल के

कहानी चार: CVE-2026-98432 के लिए आप क्या पैच करते हैं?

4:23 आई पी वी चार टीसीपी हैंडशेक में एक यूज़-आफ्टर-फ्री है, जिसका स्कोर नौ पॉइंट आठ में से दस है। कोई लॉगिन के बिना एक दूरस्थ पीयर इसे प्राप्त कर सकता है। एरिक डूमाज़ेट ने अक्टूबर एक को फिक्स लिखा। फिक्स अक्टूबर ग्यारह और पंद्रह को स्थिर कर्नेल तक पहुंचा, और यह बग लिनक्स चार पॉइंट चार तक जाता है। रेड हैट ने तीस अक्टूबर को अपनी रेटिंग महत्वपूर्ण से गंभीर तक बढ़ा दी। शनिवार शाम को, उबंटू और रेड हैट एंटरप्राइज़ लिनक्स ने अभी भी कोई फिक्स्ड कर्नेल सूचीबद्ध नहीं किया था।

4:52 एंथ्रोपिक का कहना है कि क्लाउड ने मल्टीपाथ टीसीपी लिसनर वाले सर्वर के लिए एक काम करने वाला एक्सप्लॉइट लिखा है, और गो प्रोग्राम्स ने गो एक पॉइंट चौबीस के बाद से उन्हें डिफ़ॉल्ट रूप से खोला है। गो टीम चेतावनी देती है कि उस लिसनर के बिना सिस्टम समान हमलों के प्रति संवेदनशील हो सकते हैं, और कहती है कि सबसे अच्छा फिक्स एक पैच किया हुआ कर्नेल है। यदि आपके वितरण में अभी तक कोई फिक्स्ड कर्नेल नहीं है, तो रेड हैट और अल्मा लिनक्स एक फ़ायरवॉल नियम प्रकाशित करते हैं जो आईपी विकल्पों वाले आईपीवी चार टीसीपी पैकेट को छोड़ देता है। रेड हैट का कहना है कि यह जोखिम को कम करता है और इसे पूरी तरह से नहीं रोक सकता है। उसके बाद, आप प्रतीक्षा करें।

5:23 आज क्या करें। अपने वितरण का फिक्स्ड कर्नेल स्थापित करें और रीबूट करें, कंटेनर होस्ट और कुबर्नेटिस नोड्स पर भी, क्योंकि कंटेनर होस्ट कर्नेल साझा करते हैं। डेबियन, सुसे और अमेज़ॅन लिनक्स में पहले से ही फिक्स हैं। यदि आप अभी तक पैच नहीं कर सकते हैं, तो मल्टीपाथ टीसीपी लिसनर चलाने वाले होस्ट से शुरू करें। अब मैंने जो स्टॉपवॉच का वादा किया था। एंथ्रोपिक के अपने प्रूफ ऑफ कॉन्सेप्ट में, एक कर्नेल पॉइंटर लीक करने में अड़तालीस मिनट लगते हैं,

स्टॉपवॉच पर वापस: एक्सप्लॉइट में कितना समय लगा?

5:44 फिर एक शेल कमांड चलाने में पांच और मिनट लगते हैं। एंथ्रोपिक ने एक्सप्लॉइट प्रकाशित नहीं किया है। यदि आप इसे सुनने के बजाय पढ़ना चाहते हैं, तो डिफ आपके इनबॉक्स में हर सुबह मुफ्त में the daily diff dot dev पर आता है, लिंक नीचे है। तो आज का फैसला REVERT है।

निर्णय: REVERT

6:02 मैं पार्टिकलडीबी को REVERT कर दूंगा, क्योंकि जेपसेन की सलाह परिनियोजन को रोकने की है, और मैं उस कर्नेल को पैच कर दूंगा, क्योंकि यह एक स्टॉपवॉच के साथ आता है। और यही आज का डिफ है। मैं एक्सरिसी से निको हूँ। जिम्मेदारी से विलय करें। जिम्मेदारी से मर्ज करें।

स्रोत

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas