ParticleDB-ի Jepsen-ի զեկույցը, Lenovo-ի մատնահետքի USB կրիչը, Karpathy-ի HackerTube-ը և Linux TCP-ի CVE-2026-98432 սխալը. չորս մշակողի պատմություններ մեկ Daily Diff-ում

Ինչ է ընդգրկում այս տեսանյութը

• Jepsen-ը՝ Kyle Kingsbury-ի կողմից ղեկավարվող տվյալների բազայի թեստավորման լաբորատորիան, հրապարակել է ParticleDB-ի իր վերլուծությունը 2026 թվականի հոկտեմբերի 31-ին: ParticleDB-ն Orkes-ի Rust տվյալների բազա է, որը նախատեսված է AI գործակալների համար. Orkes-ը ֆինանսավորել է աշխատանքը: Jepsen-ը փորձարկել է 1.1.4-ից մինչև 1.1.18.11.rc-22 տարբերակները մեկ հանգույցի վրա և ներկայացնում է 96 խնդիր, որոնց մեծ մասի համար անհրաժեշտ էր մեկ սերվեր, մեկ հաճախորդ և առանց խափանումների: Զեկույցի օրինակներ. WHERE 4 = 5 դրույթը վերադարձրել է տողեր 5 հիմնական բանալիով, WHERE TRUE-ն ոչինչ չի համընկել, և UPDATE-ը կարող է թողնել մի քանի տող նույն հիմնական բանալիով:
• ParticleDB-ի գլխավոր էջը գովազդում էր «Ամբողջական ACID. 159K TPS» և TLA+ ապացույց, սակայն Jepsen-ն ասում է, որ համագործակցության ընթացքում TLA+ բնութագրումը հասանելի չէր, իսկ «Ամբողջական ACID» տեքստում նշված էր նկարահանման մեկուսացում: 1.1.18.11.rc-22-ում՝ Jepsen-ի կողմից փորձարկված վերջին տարբերակում, լռելյայն occ գործարքի ռեժիմը դեռ կորցնում էր հաստատված գրառումները նորմալ աշխատանքի ընթացքում, իսկ ամենախիստ սերիականացվող ռեժիմը թույլ էր տալիս կորցնել թարմացումը գործընթացի անջատումից հետո: Orkes-ն ասում է, որ 1.1.19-rc.13 տարբերակը լուծում է բոլոր մնացած խնդիրները. Jepsen-ը չի գնահատել այն և խորհուրդ է տալիս օգտատերերին դադարեցնել ParticleDB-ի հետագա տեղակայումը և տեղափոխվել այլ տվյալների բազաներ:
• Անվտանգության հետազոտող Xusheng Li-ն պարզել է, որ Lenovo ThinkPlus FU100 մատնահետքի USB կրիչը, որը վաճառվում էր որպես AES-256 կոդավորված ապարատային կոդավորմամբ, պարունակում էր սովորական SD քարտ, որի տվյալները կոդավորված չէին. մատնահետքի ընթերցողը միայն միացնում էր USB կապը: Նա հայտնել է այդ մասին 2025 թվականի օգոստոսի 2-ին, և Lenovo-ի առաջին շտկումը SD քարտի վրա էպոքսիդային շերտ էր: Lenovo-ն իր խորհրդատվությունը գնահատել է բարձր, և FU100-ի և հարակից կրիչների համար ավելի ուշ շտկումը պահանջում է զանգահարել ծառայության գիծ Չինաստանում, այնուհետև փոխարինում կամ տեղում որոնված ծրագրի թարմացում, ըստ Tom's Hardware-ի:
• Tom's Hardware-ի կողմից հաղորդված հետագա զեկույցում Li-ն օգտագործել է OpenAI-ի Codex-ը՝ իր գործատուի հակադարձ ինժեներիայի գործիքի հետ միասին այլ արտադրողների USB պաշտպանության ծրագրային ապահովման դեմ. Netac-ի համար պահանջվել է մոտ յոթ րոպե, քանի որ այն ուներ ներկառուցված ֆիքսված բանալի և գրում էր գաղտնաբառը ախտորոշիչ մատյաններում, իսկ մեկ այլ վաճառողի կրիչն ուներ երկու թաքնված հաշիվ, որոնք Li-ն անվանում է հետնադուռ: USB կրիչի տվյալների համար կոդավորեք ֆայլերը ձեր կողմից վերահսկվող ծրագրաշարով, նախքան դրանք կհասնեն սարքին:
• 2026 թվականի հոկտեմբերի 31-ին Andrej Karpathy-ն նկարագրել է HackerTube-ը՝ YouTube-ի ոճի կայք hackertube.org հասցեով, որը կառուցվել է իր կոդավորման գործակալի հետ մոտ երկու ժամում: Գործակալը ներբեռնել է Hacker News-ի մեկնաբանությունները, զտել սպամը և պահել մոտ 40,000-ը, որոնք առաջարկում են YouTube տեսանյութ, որի արդյունքում ստացվել է 6,454 տեսանյութ 2007-ից մինչև 2026 թվականներին՝ 150 թեմաներով: Կայքը ցույց է տալիս շրջանակը 50 տոկոսանոց նշագծին՝ փոխարեն վերբեռնված մանրապատկերի: Karpathy-ն իր ձեռքով արված քայլերը նշում է որպես Google Cloud API բանալի, սերվեր և դոմեյն:
• CVE-2026-98432-ը use-after-free է Linux kernel-ի IPv4 TCP handshake-ում, գնահատվել է CVSS 9.8, հասանելի է հեռավոր համակարգչից առանց մուտքի: Eric Dumazet-ի շտկումը երկու պարզ kfree կանչերը փոխարինել է kfree_rcu-ով հոկտեմբերի 1-ին թվագրված կոմիտում. շտկումով կայուն միջուկները թողարկվել են հոկտեմբերի 11-ին և 15-ին, և սխալը գալիս է Linux 4.4-ից: Red Hat-ը բարձրացրել է իր գնահատականը Կարևորից Կրիտիկականի հոկտեմբերի 30-ին: Ubuntu-ն և Red Hat Enterprise Linux-ը շաբաթ երեկոյան, հոկտեմբերի 31-ին, ֆիքսված միջուկ չեն նշել: Տեղադրեք ձեր բաշխման ֆիքսված միջուկը և վերագործարկեք, ներառյալ կոնտեյներային հոսթերը, քանի որ կոնտեյներները կիսում են հոսթի միջուկը:
• Anthropic-ն ասում է, որ Claude-ը գրել է աշխատող շահագործում Linux սերվերների համար՝ multipath TCP լսողով, և որ իր ապացուցման հայեցակարգում 48 րոպե է պահանջվում միջուկի ցուցիչը արտահոսելու համար և ևս հինգ րոպե՝ shell հրաման կատարելու համար. շահագործումը հրապարակված չէ: Go Security Team-ը նշում է, որ Go ծրագրերը multipath TCP լսողները միացնում են լռելյայնորեն Go 1.24-ից ի վեր և զգուշացնում է, որ համակարգերն առանց այդ լսողի կարող են խոցելի լինել նմանատիպ հարձակումների նկատմամբ: Red Hat-ը և AlmaLinux-ը հրապարակում են Firewall-ի կանոն, որը կորցնում է IPv4 TCP փաթեթները IP ընտրանքներով, որը, ըստ Red Hat-ի, նվազեցնում է խոցելիությունը և ամբողջությամբ չի կանխում շահագործումը:

Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

Սառը բացում. ինչպես է where դրույթն ասում չորսը հավասար է հինգի՞ն:

0:00 Տվյալների բազա, որը գովազդում է Ամբողջական ACID, պետք է պահի այն, ինչ գրում ես։ Jepsen-ը փորձարկել է մեկը և գտել իննսունվեց խնդիր, այդ թվում՝ where դրույթ, որն ասում էր՝ չորսը հավասար է հինգի, և դեռևս վերադարձնում էր տողեր։ Այս տեսանյութում՝ չորս պատմություն։ Ի՞նչ է գտել Jepsen-ը մի տվյալների բազայում, որը հայտարարում էր Ամբողջական ACID: Ի՞նչ կար մատնահետքի USB կրիչի ներսում, որը վաճառվում էր որպես կոդավորված: Ի՞նչ է կառուցել Andrej Karpathy-ն մեկ առավոտում: Եվ ի՞նչ եք կարկատում Linux ցանցային սխալի համար:

0:26 Այդ սխալներից մեկը գալիս է վայրկյանաչափով: Ես այն ձեզ կկարդամ վերջում։ Կիրակի է, նոյեմբերի մեկը, և սա The Daily Diff-ն է։ Jepsen-ը Kyle Kingsbury-ի թեստավորման լաբորատորիան է։ Այն տվյալների բազան անցկացնում է իրական աշխատանքային բեռների և խափանումների միջով և ստուգում է, թե արդյոք կայքում տրված երաշխիքները պահպանվում են։ Մտածեք տեսուչի մասին, ով իսկապես բացում է սառնարանը։

Պատմություն մեկ. ի՞նչ է գտել Jepsen-ը ParticleDB-ում:

0:44 Պատմություն մեկ. Շաբաթ օրը Jepsen-ը հրապարակեց իր զեկույցը ParticleDB-ի մասին, Rust տվյալների բազա Orkes-ից, որը նախատեսված է AI գործակալների համար։ Orkes-ը վճարել է աշխատանքի համար: Գլխավոր էջում նշված էր «Ամբողջական ACID, հարյուր հիսունինը հազար գործարք մեկ վայրկյանում։ Jepsen-ը փորձարկել է ParticleDB-ն իր առաջին 1.1 հավաքումից մինչև ուշ թողարկման թեկնածու։ Կայքն այն անվանել է պաշտոնապես ապացուցված, TLA պլյուս ապացույցով։ Jepsen-ն ասում է, որ TLA պլյուս բնութագրումը հասանելի չէր աշխատանքի ընթացքում։

1:10 Ամբողջական ACID տողի տակ, նույն էջում նշված էր նկարահանման մեկուսացում, որը լիովին մեկուսացված չէ։ Սխալները նուրբ չէին։ Մեծ մասի համար անհրաժեշտ էր մեկ սերվեր, մեկ հաճախորդ և առանց խափանումների։ Where դրույթը, որն ասում էր՝ չորսը հավասար է հինգի, վերադարձնում էր տողեր։ Where դրույթը, որն ասում էր՝ true, ոչինչ չէր համընկնում։ Թարմացումները թողել էին երկու տող՝ նույն հիմնական բանալիով։ Jepsen-ի կողմից փորձարկված վերջին թողարկումը՝ քսաներկուերորդ թողարկման թեկնածուն,

1:36 շատ ավելի անվտանգ էր։ Այնուամենայնիվ, լռելյայն գործարքի ռեժիմը կորցրեց կատարված գրառումները նորմալ աշխատանքի ընթացքում։ Ամենախիստ ռեժիմը դեռ թույլ էր տալիս կորցրած թարմացումներ գործընթացի դադարեցումից հետո։ Orkes-ն ասում է, որ իր հաջորդ թողարկումը շտկում է այս ամենը։ Jepsen-ը չի փորձարկել այն։ Այսպիսով, այդ վերջին թողարկումում մի տվյալների բազա, որը խոստանում էր Full ACID, կարող էր կորցնել այն գրառումը, որն արդեն կատարել էր։ Արագությունը, ենթադրում եմ, գերազանց էր։

2:00 Jepsen-ի խորհուրդը պարզ է։ Դադարեցնել ParticleDB-ի հետագա տեղակայումը և հնարավորինս շուտ անցնել մեկ այլ տվյալների բազայի։ Orkes-ը մեղադրում է գարնանային վերակառուցումը և ասում, որ իր սեփական հաճախորդները, ավելի հին տարբերակի վրա, հավանաբար չեն տուժել։ Պահված ընթացակարգի փաստաթղթերում նույնիսկ էլփոստի հասցե էր հորինվել Kyle Kingsbury-ի համար: Պատմություն երկու. Lenovo ThinkPlus FU100-ը մատնահետքի USB կրիչ է,

Պատմություն երկու. ի՞նչ կար Lenovo մատնահետքի USB կրիչի ներսում:

2:21 որը շուկայահանվում է որպես AES 256-ով ապարատային կոդավորված։ Անվտանգության հետազոտող Xusheng Li-ն մեկը քանդել է և գտել սովորական SD քարտ, որի վրա ոչինչ կոդավորված չէր։ Մատնահետքի ընթերցողը որոշում էր մի բան՝ արդյոք կրիչը միացած է համակարգչին։ Քարտի ֆայլերը երբեք կախված չէին դրանից։ Լին այդ թերությունը հայտնել է Lenovo-ին 2025 թվականի օգոստոսին։ Առաջին շտկումը SD քարտի վրա էպոքսիդային շերտ էր։ Այսպիսով, ֆայլերը երբեք կոդավորված չէին։

2:47 Սպասի՛ր, դա պարզապես SD քարտ է՞։ Միշտ էլ այդպես է եղել։ Lenovo-ն իր սեփական հրահանգը գնահատել է բարձր։ Ավելի ուշ շտկումը, FU100-ի և երեք հարակից կրիչների համար, նշանակում է զանգահարել ծառայության գիծ Չինաստանում, ապա կա՛մ հետ ուղարկել կրիչը, կա՛մ տեղում որոնված ծրագրի թարմացում ստանալ։ Lenovo-ն խորհուրդ է տալիս նախ մաքրել կրիչը: Անցյալ շաբաթ Լին ուղղորդեց OpenAI-ի Codex-ը, գումարած իր գործատուի հակադարձ ինժեներիայի

3:09 գործիքը, այլ արտադրողների USB պաշտպանության ծրագրային ապահովմանը։ Netac-ի դեպքում պահանջվեց մոտ յոթ րոպե, քանի որ այն ուներ ներկառուցված ֆիքսված բանալի և գրում էր գաղտնաբառը ախտորոշիչ մատյաններում։ Մեկ կրիչ ուներ երկու թաքնված հաշիվ, որոնք Լին անվանում է հետնադուռ: Եթե կրիչի անվտանգությունը ապարատային է, ստուգեք ինքներդ։ Կոդավորեք ֆայլերը ձեր կողմից վերահսկվող ծրագրաշարով, նախքան դրանք կհասնեն կրիչին, և մատնահետքը դիտարկեք որպես հարմարություն:

Պատմություն երեք. ի՞նչ է կառուցել Karpathy-ն մեկ առավոտում:

3:31 Պատմություն երեք, թեթևը։ Ուրբաթ երեկոյան Andrej Karpathy-ն բացեց YouTube-ը, տեսավ այն, ինչ նա անվանեց «աղտոտված թափոնների պատ», և շաբաթ առավոտյան իր կոդավորող գործակալին ասաց, որ կառուցի փոխարինող այն ամենից, ինչ Hacker News-ը խորհուրդ է տալիս: Գործակալը ներբեռնեց Hacker News-ի մեկնաբանությունները, զտեց սպամը, և պահեց մոտ քառասուն հազարը, որոնք խորհուրդ էին տալիս YouTube տեսանյութ։ Դա թողեց վեց հազար չորս հարյուր հիսունչորս տեսանյութ, երկու հազար յոթից մինչև այսօր, հարյուր հիսուն թեմաներով։

3:58 Կայքը hackertube.org է: Այն ցույց է տալիս շրջանակը կիսաճանապարհից՝ փոխարեն այն մանրապատկերի, որը վերբեռնողն ընտրել էր, ինչը մի փոքր ցավալի է։ Karpathy-ն ասում է, որ ամբողջ կառուցումը տևել է մոտ երկու ժամ։ Նրա միակ ձեռքով արված քայլերն էին Google API բանալին, սերվերը և դոմեյնը։ Հոկտեմբերի տասներկուսին ես ձեզ ասացի, որ Karpathy-ն կարծում է, որ մուտքը և առաջադրանքները բաց են ստեղծում այն բանի մեջ, թե ինչպես են մարդիկ հասկանում այս գործիքները։ Երկու ժամվա աշխատանքը բավականին լավ տվյալների կետ է:

4:21 Պատմություն չորս, որի վրա պետք է գործել։

Պատմություն չորս. ի՞նչ եք կարկատում CVE-2026-98432-ի համար:

4:23 CVE 2026, 98432-ը use-after-free է Linux kernel-ի IPv4 TCP handshake-ում, գնահատված տասից ինը ամբողջ ութ։ Հեռավոր համակարգիչն առանց մուտքի կարող է հասնել դրան։ Eric Dumazet-ը շտկումը գրել է հոկտեմբերի մեկին։ Շտկումը հասել է կայուն միջուկներին հոկտեմբերի տասնմեկին և տասնհինգին, իսկ սխալը գալիս է Linux չորս ամբողջ չորսից։ Red Hat-ը բարձրացրեց իր գնահատականը կարևորից կրիտիկականի հոկտեմբերի երեսունին։ Շաբաթ երեկոյան, Ubuntu-ն և Red Hat Enterprise Linux-ը դեռևս չունեին ֆիքսված kernel։

4:52 Anthropic-ն ասում է, որ Claude-ը գրել է աշխատող շահագործում սերվերների համար՝ multipath TCP լսողով, և Go ծրագրերը դրանք բացել են լռելյայնորեն Go 1.24-ից ի վեր: Go թիմը զգուշացնում է, որ համակարգերն առանց այդ լսողի կարող են խոցելի լինել նմանատիպ հարձակումների նկատմամբ, և ասում է, որ լավագույն շտկումը կարկատված միջուկն է։ Եթե ձեր բաշխումը դեռ չունի ֆիքսված միջուկ, Red Hat-ը և AlmaLinux-ը հրապարակում են firewall-ի կանոն, որը կորցնում է IPv4 TCP փաթեթները, որոնք կրում են IP ընտրանքներ։ Red Hat-ն ասում է, որ դա նվազեցնում է խոցելիությունը և չի կարող ամբողջությամբ կանխել այն։ Դրանից հետո դուք սպասում եք:

5:23 Ի՞նչ անել այսօր։ Տեղադրեք ձեր բաշխման ֆիքսված միջուկը և վերագործարկեք, նաև կոնտեյներային հոսթերի և Kubernetes հանգույցների վրա, քանի որ կոնտեյներները կիսում են հոսթի միջուկը։ Debian, Suse և Amazon Linux-ն արդեն ունեն շտկումներ։ Եթե դեռ չեք կարող կարկատել, սկսեք այն հոսթերից, որոնք աշխատեցնում են multipath TCP լսողներ։ Հիմա խոստացված վայրկյանաչափը։ Anthropic-ի սեփական ապացուցման հայեցակարգում պահանջվում է քառասունութ րոպե՝

Վերադառնալով վայրկյանաչափին. որքա՞ն ժամանակ պահանջվեց շահագործումից:

5:44 միջուկի ցուցիչը արտահոսելու համար, այնուհետև ևս հինգ րոպե՝ shell հրաման կատարելու համար։ Anthropic-ը չի հրապարակել շահագործումը։ Եթե նախընտրում եք կարդալ սա, քան լսել ինձանից, ապա diff-ը հայտնվում է ձեր մուտքի արկղում ամեն առավոտ, անվճար thedailydiff.dev-ում, հղումը ստորև։ Այսպիսով, այսօրվա դատավճիռն է REVERT:

Դատավճիռ. REVERT

6:02 Ես կվերականգնեի ParticleDB-ն, քանի որ Jepsen-ի խորհուրդն է դադարեցնել տեղակայումը, և ես կկարկատեի այդ միջուկը, քանի որ այն գալիս է վայրկյանաչափով։ Եվ սա է այսօրվա տարբերությունը։ Ես Նիկոն եմ Axrisi-ից: Միավորեք պատասխանատվությամբ։ Համատեղել պատասխանատու կերպով։

Աղբյուրներ

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas