A ParticleDB Jepsen jelentése, a Lenovo ujjlenyomatos USB-je, Karpathy HackerTube-ja és a Linux TCP hibája CVE-2026-98432: négy fejlesztői történet egyetlen Daily Diff-ben

Amit ez a videó tartalmaz

• Jepsen, Kyle Kingsbury adatbázis tesztelő laborja, 2026. október 31-én tette közzé a ParticleDB elemzését. A ParticleDB az Orkes Rust adatbázisa, amelyet mesterséges intelligencia ügynököknek szántak; az Orkes finanszírozta a munkát. Jepsen az 1.1.4-től 1.1.18.11.rc-22-ig terjedő verziókat tesztelte egyetlen csomóponton, és 96 problémát mutatott be, amelyek többségéhez egy szerver, egy kliens és hibák bevezetése nélkül is szükség volt. Példák a jelentésből: egy WHERE 4 = 5 záradék olyan sorokat adott vissza, amelyek elsődleges kulcsa 5 volt, a WHERE TRUE semmit sem talált, és egy UPDATE több sort is hagyhatott ugyanazzal az elsődleges kulccsal.
• A ParticleDB honlapja „Teljes ACID. 159K TPS.” hirdette, és TLA+ igazolást, de Jepsen szerint a kollaboráció során nem volt elérhető TLA+ specifikáció, és a „Teljes ACID” alatt a szöveg snapshot izolációt írt. Az 1.1.18.11.rc-22-ben, az utolsó verzióban, amit Jepsen tesztelt, az alapértelmezett occ tranzakciós mód továbbra is elveszítette a véglegesített írásokat normál működés során, és a legszigorúbb szerializálható mód megengedte az Elveszett Frissítést a folyamatleállások után. Az Orkes szerint az 1.1.19-rc.13 verzió minden fennmaradó problémát megold; Jepsen nem értékelte, és azt javasolja a felhasználóknak, hogy állítsák le a ParticleDB további telepítését, és migráljanak más adatbázisokra.
• Xusheng Li biztonsági kutató felfedezte, hogy a Lenovo ThinkPlus FU100 ujjlenyomatos USB pendrive, amelyet AES-256 hardveres titkosítással hirdettek, egy közönséges SD kártyát tartalmazott, amelyen semmilyen adat nem volt titkosítva; az ujjlenyomat-olvasó csak az USB kapcsolatot kapcsolta be. A hibát 2025. augusztus 2-án jelentette, és a Lenovo első javítása egy epoxi réteg volt az SD kártyán. A Lenovo magasra értékelte a figyelmeztetését, és egy későbbi javítás az FU100 és kapcsolódó meghajtók számára egy kínai szervizvonal felhívását igényli, majd cserét vagy helyszíni firmware frissítést, a Tom's Hardware szerint.
• A Tom's Hardware által jelentett további fejlemények szerint Li az OpenAI Codexét használta munkáltatójának fordított mérnöki eszközével más gyártók USB-védelmi szoftverei ellen; a Netacé körülbelül hét percet vett igénybe, mert beépített fix kulccsal rendelkezett, és a jelszót a diagnosztikai naplókba írta, egy másik gyártó meghajtóján pedig két rejtett fiók volt, amelyeket Li "hátsó kapuknak" nevez. Az USB-meghajtón lévő adatok esetében titkosítsa a fájlokat az Ön által ellenőrzött szoftverrel, mielőtt azok eljutnak az eszközre.
• 2026. október 31-én Andrej Karpathy bemutatta a HackerTube-ot, egy YouTube-szerű oldalt a hackertube.org címen, amelyet kódoló ügynökével körülbelül két óra alatt épített fel. Az ügynök letöltötte a Hacker News kommentjeit, kiszűrte a spamet, és körülbelül 40 000 olyan kommentet tartott meg, amelyek YouTube videót ajánlanak, így 6 454 videó jött létre 2007-től 2026-ig, 150 témakörben. Az oldal az 50%-os jelzésnél lévő képkockát mutatja a feltöltött miniatűr helyett. Karpathy a manuális lépéseit Google Cloud API kulcsként, szerverként és domainként sorolja fel.
• A CVE-2026-98432 egy use-after-free hiba a Linux kernel IPv4 TCP kézfogásában, CVSS 9.8-as pontszámmal, távoli felhasználó által bejelentkezés nélkül is elérhető. Eric Dumazet javítása két egyszerű kfree hívást kfree_rcu-ra cserélt egy október 1-i commitban; a javítást tartalmazó stabil kernelek október 11-én és 15-én jelentek meg, a hiba pedig egészen a Linux 4.4-ig nyúlik vissza. A Red Hat október 30-án emelte a besorolását Fontosról Kritikusra. Az Ubuntu és a Red Hat Enterprise Linux október 31-én, szombat este még nem sorolt fel javított kernelt. Telepítse a disztribúciója javított kernelét és indítsa újra, beleértve a konténer-hosztokat is, mert a konténerek megosztják a hoszt-kernelt.
• Az Anthropic szerint a Claude írt egy működő exploitot többútvonalú TCP-figyelővel rendelkező Linux szerverekre, és a koncepció igazolásában 48 percet vesz igénybe egy kernelmutató kiszivárogtatása, majd további öt percet egy shellparancs futtatása; az exploit nincs közzétéve. A Go Security Team megjegyzi, hogy a Go programok alapértelmezetten engedélyezik a többútvonalú TCP-figyelőket a Go 1.24 óta, és figyelmeztet, hogy az ilyen figyelővel nem rendelkező rendszerek is sebezhetőek lehetnek hasonló támadásokkal szemben. A Red Hat és az AlmaLinux közzétesz egy tűzfalszabályt, amely eldobja az IPv4 TCP csomagokat IP opciókkal, ami a Red Hat szerint csökkenti a kitettséget, de nem akadályozza meg teljesen a kihasználást.

Lefordított átirat

Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli.

Hideg nyitány: hogyan mondja egy WHERE záradék, hogy négy egyenlő öttel?

0:00 Egy adatbázis, amely Teljes ACID-ot hirdet, elvileg meg kell tartania, amit beírsz. Jepsen tesztelt egyet és kilencvenhat problémát talált, köztük egy WHERE záradékot, amely azt mondta, hogy négy egyenlő öttel, és mégis visszaadott sorokat. Ebben a videóban négy történet. Mit talált Jepsen egy adatbázisban, amely Teljes ACID-ot állított? Mi volt egy titkosítottként árult ujjlenyomatos USB-kulcs belsejében? Mit épített Andrej Karpathy egy reggel? És mit javítasz egy Linux hálózati hibára?

0:26 Az egyik ilyen hiba stopperórával jár. A végén elolvasom neked. Vasárnap van, november elseje, és ez a The Daily Diff. Jepsen Kyle Kingsbury tesztelő laboratóriuma. Adatbázisokat valós munkaterheléseken és hibákon keresztül futtat, és ellenőrzi, hogy a weboldalon szereplő garanciák érvényesek-e. Gondoljon egy ellenőrre, aki ténylegesen kinyitja a hűtőszekrényt.

Első történet: mit talált Jepsen a ParticleDB-ben?

0:44 Első történet. Szombaton Jepsen közzétette jelentését a ParticleDB-ről, egy Rust adatbázisról az Orkestől, amelyet AI-ügynököknek szántak. Az Orkes fizette a munkát. A kezdőlap azt mondta: Teljes ACID, százötvenkilencezer tranzakció másodpercenként. Jepsen tesztelte a ParticleDB-t az első 1.1-es buildtől egy késői kiadásjelöltig. Az oldal formálisan igazoltnak nevezte, TLA plusz bizonyítékkal. Jepsen szerint a munka során nem volt elérhető TLA plusz specifikáció.

1:10 A Teljes ACID sor alatt ugyanez az oldal snapshot izolációt mondott, ami nem teljesen izolált. A hibák nem voltak finomak. A legtöbbhöz egy szerver, egy kliens és hibák bevezetése nélkül volt szükség. Egy WHERE záradék, amely azt mondta, hogy négy egyenlő öttel, sorokat adott vissza. Egy WHERE záradék, amely azt mondta, hogy igaz, semmit sem talált. A frissítések két sort hagytak ugyanazzal az elsődleges kulccsal. Az utolsó kiadás, amelyet Jepsen tesztelt, a huszonkettes kiadásjelölt,

1:36 sokkal biztonságosabb volt. Ennek ellenére az alapértelmezett tranzakciós mód normál működés során elveszítette az véglegesített írásokat. A legszigorúbb mód is megengedte az elveszett frissítéseket egy folyamat leállítása után. Az Orkes szerint a következő kiadásuk mindezt kijavítja. Jepsen még nem tesztelte. Tehát abban az utolsó kiadásban egy adatbázis, amely Teljes ACID-ot ígért, elveszíthetett egy már véglegesített írást. A sebesség, feltételezem, kiváló volt.

2:00 Jepsen tanácsa világos. Állítsa le a ParticleDB további telepítését, és migráljon egy másik adatbázisra, amilyen gyorsan csak lehet. Az Orkes egy tavaszi refaktorra hivatkozik, és azt mondja, hogy saját ügyfelei, egy régebbi verzióval, valószínűleg nem érintettek. A tárolt eljárás dokumentáció még egy e-mail címet is kitalált Kyle Kingsbury számára. Második történet. A Lenovo ThinkPlus FU százas egy ujjlenyomatos USB pendrive,

Második történet: mi volt a Lenovo ujjlenyomatos USB pendrive-jában?

2:21 amelyet AES kétszázötvenhatos hardveres titkosítással árusítanak. Xusheng Li biztonsági kutató szétszedett egyet, és egy közönséges SD-kártyát talált, amelyen semmi sem volt titkosítva. Az ujjlenyomat-olvasó egy dolgot döntött el, hogy a pendrive csatlakozik-e a számítógéphez. A kártyán lévő fájlok sosem függtek tőle. Li 2025 augusztusában jelentette a hibát a Lenovónak. Az első javítás egy epoxi réteg volt az SD kártyán. Tehát a fájlok soha nem voltak titkosítva.

2:47 Várjunk, ez csak egy SD kártya? Mindig is az volt. A Lenovo saját figyelmeztetését magasra értékelte. A későbbi javítás az FU százasra és három kapcsolódó meghajtóra, azt jelenti, hogy fel kell hívni egy kínai szervizvonalat, majd vagy vissza kell küldeni a meghajtót, vagy helyszíni firmware-frissítést kell kérni. A Lenovo azt tanácsolja, hogy először törölje le a meghajtót. Múlt héten Li az OpenAI Codexét, plusz munkáltatójának fordított mérnöki

3:09 eszközét használta más gyártók USB védelmi szoftvereire. A Netacé körülbelül hét percet vett igénybe, mert beépített fix kulccsal rendelkezett, és a jelszót diagnosztikai naplókba írta. Egy meghajtó két rejtett fiókot tartalmazott, amelyeket Li hátsó ajtónak nevez. Ha egy meghajtó biztonsága a hardveren múlik, ellenőrizze maga. Titkosítsa a fájlokat az Ön által ellenőrzött szoftverrel, mielőtt azok eljutnak a pendrive-ra, és az ujjlenyomatot kezelje kényelmi funkcióként.

Harmadik történet: mit épített Karpathy egy reggel?

3:31 Harmadik történet, a könnyed. Péntek este Andrej Karpathy megnyitotta a YouTube-ot, és meglátta, amit "elmosódott trutyifalból" álló falnak nevezett, majd szombat reggel megkérte a kódoló ügynökét, hogy építsen egy pótlást abból, amit a Hacker News ajánl. Az ügynök letöltötte a Hacker News kommentjeit, kiszűrte a spamet, és körülbelül negyvenezer olyat tartott meg, amelyek YouTube videót ajánlottak. Ez hatnégyszázötvennégy videót hagyott, kétezerhéttől mostanáig, százötven témában. Az oldal a hackertube.org.

3:58 A félúton lévő képkockát mutatja a feltöltő által választott miniatűr helyett, ami egy kicsit csípős. Karpathy szerint az egész építés körülbelül két órát vett igénybe. Az egyetlen manuális lépése egy Google API kulcs, egy szerver és egy domain volt. Karpathy szerint az egész építés körülbelül két órát vett igénybe. Október tizenkettedikén mondtam nektek, Karpathy úgy gondolja, hogy a hozzáférés és a feladatok szakadékot teremtenek abban, ahogyan az emberek megértik ezeket az eszközöket. Két óra munka egy tisztességes adatpont.

4:21 Negyedik történet, amivel foglalkozni kell.

Negyedik történet: mit javítasz a CVE-2026-98432-höz?

4:23 A CVE kétezerhuszonhat, kilencvennyolcezer-négyszázharminckettő egy use-after-free hiba a Linux kernel IP v négy TCP kézfogásában, tízből kilenc pont nyolc ponttal értékelve. Távoli fél, bejelentkezés nélkül is elérheti. Eric Dumazet október elsején írta a javítást. A javítás október tizenegyedikén és tizenötödikén jutott el a stabil kernelekhez, és a hiba egészen a Linux négy pont négyig nyúlik vissza. A Red Hat október harmincadikán Fontosról Kritikusra emelte a besorolását. Szombat este az Ubuntu és a Red Hat Enterprise Linux még nem sorolt fel javított

4:52 kernelt. Az Anthropic szerint a Claude írt egy működő exploitot többútvonalú TCP-figyelővel rendelkező szerverekre, és a Go programok alapértelmezetten megnyitották ezeket a Go egy pont huszonnégy óta. A Go csapat figyelmeztet, hogy az ilyen figyelővel nem rendelkező rendszerek is sebezhetőek lehetnek hasonló támadásokkal szemben, és azt mondja, hogy a legjobb javítás egy javított kernel. Ha a disztribúciója még nem rendelkezik javított kernellel, a Red Hat és az AlmaLinux közzétesz egy tűzfalszabályt, amely eldobja az IP v négy TCP csomagokat, amelyek IP opciókat tartalmaznak. A Red Hat szerint csökkenti a kitettséget, és nem tudja teljesen megakadályozni. Utána vársz.

5:23 Amit ma tenni kell. Telepítse a disztribúciója javított kernelét, és indítsa újra a konténer-hosztokon és a Kubernetes csomópontokon is, mert a konténerek megosztják a hoszt-kernelt. A Debian, a Suse és az Amazon Linux már rendelkeznek javításokkal. Ha még nem tudja patchelni, kezdje azokkal a hosztokkal, amelyek többútvonalas TCP-figyelőket futtatnak. Most pedig a stopperóra, amit ígértem. Az Anthropic saját koncepciójának igazolásában negyvennyolc percet vesz igénybe egy

Vissza a stopperhez: mennyi ideig tartott az exploit?

5:44 kernelmutató kiszivárogtatása, majd további öt percet egy shellparancs futtatása. Az Anthropic nem tette közzé az exploitot. Ha inkább elolvasná ezt, mintsem hallaná tőlem, a diff minden reggel beérkezik a postafiókjába, ingyen a the daily diff dot dev címen, a link alább található. Ingyen a the daily diff dot dev címen, a link alább található.

Ítélet: REVERT

6:02 Szóval a mai ítélet: REVERT. Visszaállítanám a ParticleDB-t, mert Jepsen tanácsa a telepítés leállítása, és patchelném azt a kernelt, mert stopperórával jár. És ez a mai diff. Niko vagyok az Axrisitől. Összevonás felelősséggel.

Források

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas