Jepsenovo izvješće o ParticleDB-u, Lenovov USB stick s otiskom prsta, Karpathyjev HackerTube i Linux TCP bug CVE-2026-98432: četiri developerske priče u jednom Daily Diffu

Što ovaj video pokriva

• Jepsen, laboratorij za testiranje baza podataka kojeg vodi Kyle Kingsbury, objavio je svoju analizu ParticleDB-a 31. listopada 2026. ParticleDB je Rust baza podataka tvrtke Orkes namijenjena AI agentima; Orkes je financirao rad. Jepsen je testirao verzije 1.1.4 do 1.1.18.11.rc-22 na jednom čvoru i predstavlja 96 problema, od kojih je većina zahtijevala jedan poslužitelj, jednog klijenta i bez kvarova. Primjeri u izvješću: klauzula WHERE 4 = 5 vratila je retke s primarnim ključem 5, WHERE TRUE nije odgovarala ničemu, a UPDATE je mogao ostaviti više redaka s istim primarnim ključem.
• Početna stranica ParticleDB-a oglašavala je 'Full ACID. 159K TPS.' i TLA+ dokaz, ali Jepsen kaže da TLA+ specifikacija nije bila dostupna tijekom suradnje, a tekst pod 'Full ACID' navodio je izolaciju snimaka. U 1.1.18.11.rc-22, posljednjoj verziji koju je Jepsen testirao, zadani occ način transakcije i dalje je gubio potvrđene zapise tijekom normalnog rada, a najstroži serijalizabilni način dopuštao je Lost Update nakon prekida procesa. Orkes kaže da verzija 1.1.19-rc.13 rješava sve preostale probleme; Jepsen je nije procijenio i preporučuje korisnicima da zaustave daljnju implementaciju ParticleDB-a i migriraju na druge baze podataka.
• Sigurnosni istraživač Xusheng Li otkrio je da Lenovov ThinkPlus FU100 USB stick s otiskom prsta, reklamiran kao hardverski šifriran s AES-256, sadrži običnu SD karticu čiji podaci nisu bili šifrirani; čitač otiska prsta samo je uključivao USB vezu. Prijavio je to 2. kolovoza 2025., a Lenovovo prvo rješenje bio je sloj epoksida preko SD kartice. Lenovo je svoje upozorenje ocijenio visokim, a kasniji popravak za FU100 i srodne pogone zahtijeva pozivanje servisne linije u Kini, zatim zamjenu ili nadogradnju firmvera na licu mjesta, prema Tom's Hardwareu.
• U naknadnom izvješću Tom's Hardwarea, Li je koristio OpenAI-jev Codex sa alatom za obrnuti inženjering svog poslodavca protiv softvera za USB zaštitu drugih proizvođača; Netacov je trajao oko sedam minuta jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke zapise, a pogon drugog prodavača imao je dva skrivena računa koje Li naziva "stražnjim vratima". Za podatke na USB sticku, šifrirajte datoteke softverom koji kontrolirate prije nego što dođu do uređaja.
• Andrej Karpathy je 31. listopada 2026. opisao HackerTube, web-mjesto u stilu YouTubea na hackertube.org izgrađeno sa svojim programskim agentom za oko dva sata. Agent je preuzeo komentare s Hacker Newsa, filtrirao spam i zadržao oko 40.000 koji preporučuju YouTube video, što je rezultiralo s 6.454 videozapisa od 2007. do 2026. godine, preko 150 tema. Stranica prikazuje okvir na 50 posto umjesto učitane sličice. Karpathy navodi svoje ručne korake kao Google Cloud API ključ, poslužitelj i domenu.
• CVE-2026-98432 je use-after-free u rukovanju IPv4 TCP-om Linux kernela, s CVSS ocjenom 9,8, dostupan udaljenom kolegi bez prijave. Eric Dumazetov popravak zamijenio je dva obična kfree poziva s kfree_rcu u commitu od 1. listopada; stabilne jezgre s popravkom isporučene su 11. i 15. listopada, a greška datira iz Linuxa 4.4. Red Hat je 30. listopada podigao svoju ocjenu s Important na Critical. Ubuntu i Red Hat Enterprise Linux u subotu navečer, 31. listopada, nisu naveli zakrpljeni kernel. Instalirajte zakrpljeni kernel svoje distribucije i ponovno pokrenite, uključujući hostove spremnika, jer spremnici dijele kernel hosta.
• Anthropic kaže da je Claude napisao funkcionalan exploit za Linux poslužitelje s višeputnim TCP slušateljem, te da u svom dokazu koncepta treba 48 minuta za "curenje" pokazivača kernela i još pet minuta za pokretanje shell naredbe; exploit nije objavljen. Go Security Team napominje da Go programi omogućuju višeputne TCP slušatelje prema zadanim postavkama od Go 1.24 i upozorava da sustavi bez tog slušatelja mogu biti ranjivi na slične napade. Red Hat i AlmaLinux objavljuju pravilo vatrozida koje odbacuje IPv4 TCP pakete s IP opcijama, za koje Red Hat kaže da smanjuje izloženost i ne sprječava u potpunosti eksploataciju.

Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

Hladni početak: kako klauzula where kaže da je četiri jednako pet?

0:00 Baza podataka koja oglašava Full ACID trebala bi zadržati ono što napišete. Jepsen je testirao jednu i pronašao devedeset šest problema, uključujući klauzulu where koja je rekla četiri jednako pet i ipak vratila retke. U ovom videu, četiri priče. Što je Jepsen pronašao u bazi podataka koja je tvrdila Full ACID? Što je bilo unutar USB sticka s otiskom prsta prodavanog kao šifriranog? Što je Andrej Karpathy izgradio jednog jutra? I što zakrpite za Linux mrežnu grešku?

0:26 Jedna od tih grešaka dolazi sa štopericom. Pročitat ću vam je na kraju. Nedjelja je, prvog studenog, i ovo je The Daily Diff. Jepsen je testni laboratorij Kylea Kingsburyja. On provodi bazu podataka kroz stvarne radne opterećenja i kvarove i provjerava drže li se jamstva na web stranici. Zamislite inspektora koji zapravo otvara hladnjak.

Priča prva: što je Jepsen pronašao u ParticleDB-u?

0:44 Priča prva. U subotu je Jepsen objavio svoje izvješće o ParticleDB-u, Rust bazi podataka iz Orkesa namijenjenoj AI agentima. Orkes je platio rad. Početna stranica je rekla Full ACID, sto pedeset devet tisuća transakcija po sekundi. Jepsen je testirao ParticleDB od prve verzije 1.1 do kasne kandidatne verzije. Stranica ju je nazvala formalno dokazanom, s TLA plus dokazom. Jepsen kaže da TLA plus specifikacija nije bila dostupna tijekom rada.

1:10 Ispod retka Full ACID, ista stranica je rekla snapshot isolation, što nije potpuno izolirano. Greške nisu bile suptilne. Većini je bio potreban jedan poslužitelj, jedan klijent i nikakvi kvarovi nisu bili injektirani. Klauzula where koja je rekla četiri jednako pet vratila je retke. Klauzula where koja je rekla true nije se podudarala ni s čim. Ažuriranja su ostavila dva retka s istim primarnim ključem. Posljednja verzija koju je Jepsen testirao, kandidatna verzija dvadeset dva,

1:36 bila je mnogo sigurnija. Unatoč tome, zadani način transakcije izgubio je potvrđene zapise tijekom normalnog rada. Najstroži način i dalje je dopuštao izgubljena ažuriranja nakon prekida procesa. Orkes kaže da će sljedeća verzija sve to popraviti. Jepsen ga nije testirao. Dakle, u toj posljednjoj verziji baza podataka koja je obećavala Full ACID mogla je izgubiti zapis koji je već bila potvrdila. Brzina je, pretpostavljam, bila izvrsna.

2:00 Jepsenov savjet je jasan. Zaustavite daljnju implementaciju ParticleDB-a i migrirajte na drugu bazu podataka što je prije moguće. Orkes okrivljuje proljetno refaktoriranje i kaže da su njegovi vlastiti kupci, na starijoj verziji, vjerojatno bili nepromijenjeni. Dokumentacija pohranjenih procedura čak je izmislila e-mail adresu za Kylea Kingsburyja. Priča druga. Lenovo ThinkPlus FU sto je USB stick s otiskom prsta

Priča druga: što je bilo unutar Lenovovog USB sticka s otiskom prsta?

2:21 reklamiran kao hardverski šifriran s AES dvjesto pedeset šest. Sigurnosni istraživač Xusheng Li rastavio je jedan i pronašao običnu SD karticu, s ničim šifriranim na njoj. Čitač otiska prsta odlučio je samo jednu stvar, je li se stick spojio na računalo. Datoteke na kartici nikada nisu ovisile o tome. Li je prijavio kvar Lenovu u kolovozu dvadeset dvadeset pete. Prvi popravak bio je sloj epoksida preko SD kartice. Dakle, datoteke nikada nisu bile šifrirane.

2:47 Čekajte, to je samo SD kartica? Uvijek je bila. Lenovo je svoje upozorenje ocijenio visokim. Kasniji popravak, za FU sto i tri srodna pogona, znači pozivanje servisne linije u Kini, zatim ili slanje pogona natrag ili dobivanje nadogradnje firmvera na licu mjesta. Lenovo savjetuje da se pogon prvo obriše. Prošli tjedan Li je usmjerio OpenAI-jev Codex, plus alat za obrnuti inženjering svog poslodavca,

3:09 na softver za USB zaštitu drugih proizvođača. Netacov je trajao oko sedam minuta, jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke zapise. Jedan pogon imao je dva skrivena računa koje Li naziva "stražnjim vratima". Ako je sigurnost pogona hardver, provjerite je sami. Šifrirajte datoteke softverom koji kontrolirate prije nego što dođu do sticka, i tretirajte otisak prsta kao pogodnost.

Priča treća: što je Karpathy napravio jednog jutra?

3:31 Priča treća, lagana. U petak navečer Andrej Karpathy otvorio je YouTube, vidio ono što je nazvao "zašitađenim zidom mulja", a u subotu ujutro rekao svom kodirajućem agentu da izgradi zamjenu od svega što Hacker News preporučuje. Agent je preuzeo komentare Hacker Newsa, filtrirao spam, i zadržao oko četrdeset tisuća koji preporučuju YouTube video. To je ostavilo šest tisuća četiri stotine pedeset četiri videozapisa, od dvije tisuće sedme do sada, u sto pedeset tema.

3:58 Web mjesto je hackertube.org. Prikazuje okvir s polovice umjesto sličice koju je odabrao učitavač, što malo peče. Karpathy kaže da je cijela izrada trajala oko dva sata. Njegovi jedini ručni koraci bili su Google API ključ, poslužitelj i domena. Dvanaestog listopada sam vam rekao da Karpathy misli da pristup i zadaci stvaraju jaz u tome kako ljudi razumiju ove alate. Dva sata rada je pristojan podatak.

4:21 Priča četvrta, ona na koju treba djelovati.

Priča četvrta: što zakrpite za CVE-2026-98432?

4:23 CVE dvadeset dvadeset šest, devedeset osam četiri trideset dva je use-after-free u IPv4 TCP rukovanju Linux kernela, ocijenjeno s devet točaka osam od deset. Udaljeni peer bez prijave može ga dosegnuti. Eric Dumazet napisao je popravak prvog listopada. Popravak je stigao do stabilnih kernela jedanaestog i petnaestog listopada, a greška datira iz Linuxa četiri točke četiri. Red Hat je tridesetog listopada podigao svoju ocjenu s važno na kritično. U subotu navečer, Ubuntu i Red Hat Enterprise Linux još uvijek nisu naveli fiksni

4:52 kernel. Anthropic kaže da je Claude napisao funkcionalan exploit za poslužitelje s višeputnim TCP slušateljem, a Go programi su ih otvorili prema zadanim postavkama od Go jedan točke dvadeset četiri. Go tim upozorava da sustavi bez tog slušatelja mogu biti ranjivi na slične napade i kaže da je najbolji popravak zakrpljeni kernel. Ako vaša distribucija još nema fiksni kernel, Red Hat i AlmaLinux objavljuju pravilo vatrozida koje odbacuje IPv4 TCP pakete koji nose IP opcije. Red Hat kaže da smanjuje izloženost i ne može je u potpunosti spriječiti.

5:23 Nakon toga, čekate. Što učiniti danas. Instalirajte zakrpljeni kernel svoje distribucije i ponovno pokrenite, i na hostovima kontejnera i Kubernetes čvorovima, jer kontejneri dijele kernel hosta. Debian, Suse i Amazon Linux već imaju popravke. Ako još ne možete zakrpati, počnite s hostovima koji pokreću višeputne TCP slušatelje. Sada štoperica koju sam obećao.

Natrag na štopericu: koliko je dugo trajao exploit?

5:44 U Anthropicovom dokazu koncepta, potrebno je četrdeset osam minuta za curenje pokazivača kernela, a zatim još pet minuta za pokretanje shell naredbe. Anthropic nije objavio exploit. Ako ovo radije čitate nego slušate, diff stiže u vašu pristiglu poštu svako jutro, besplatno na thedailydiff.dev, link dolje.

Presuda: REVERT

6:02 Dakle, današnja presuda je REVERT. Obrnula bih ParticleDB, jer Jepsenov savjet je zaustaviti implementaciju, i zakrpala bih taj kernel, jer dolazi sa štopericom. I to je to za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

Izvori

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas