Laporan Jepsen ParticleDB, stik USB sidik jari Lenovo, HackerTube Karpathy, dan bug TCP Linux CVE-2026-98432: empat cerita pengembang dalam satu Daily Diff

Isi video ini

• Jepsen, laboratorium pengujian database yang dijalankan oleh Kyle Kingsbury, menerbitkan analisisnya tentang ParticleDB pada 31 Oktober 2026. ParticleDB adalah database Rust dari Orkes yang ditujukan untuk agen AI; Orkes mendanai pekerjaan tersebut. Jepsen menguji versi 1.1.4 hingga 1.1.18.11.rc-22 pada satu node dan menyajikan 96 masalah, sebagian besar membutuhkan satu server, satu klien, dan tanpa kesalahan. Contoh dalam laporan: klausa WHERE 4 = 5 mengembalikan baris dengan kunci utama 5, WHERE TRUE tidak cocok dengan apa pun, dan UPDATE dapat meninggalkan beberapa baris dengan kunci utama yang sama.
• Halaman beranda ParticleDB mengiklankan 'Full ACID. 159K TPS.' dan bukti TLA+, tetapi Jepsen mengatakan tidak ada spesifikasi TLA+ yang tersedia selama kolaborasi, dan teks di bawah 'Full ACID' mengatakan isolasi snapshot. Dalam 1.1.18.11.rc-22, versi terakhir yang diuji Jepsen, mode transaksi default occ masih kehilangan penulisan yang dikomit selama operasi normal, dan mode serializable paling ketat memungkinkan Pembaruan Hilang setelah pemadaman proses. Orkes mengatakan versi 1.1.19-rc.13 menyelesaikan semua masalah yang tersisa; Jepsen belum mengevaluasinya dan merekomendasikan agar pengguna menghentikan penyebaran ParticleDB lebih lanjut dan bermigrasi ke database lain.
• Peneliti keamanan Xusheng Li menemukan bahwa stik USB sidik jari Lenovo ThinkPlus FU100, yang dipasarkan sebagai perangkat keras terenkripsi dengan AES-256, berisi kartu SD biasa yang datanya tidak terenkripsi; pembaca sidik jari hanya mengaktifkan koneksi USB. Dia melaporkannya pada 2 Agustus 2025, dan perbaikan pertama Lenovo adalah lapisan epoksi di atas kartu SD. Lenovo menilai sarananya tinggi, dan perbaikan selanjutnya untuk FU100 dan drive terkait memerlukan panggilan ke jalur layanan di Tiongkok, kemudian penggantian atau peningkatan firmware di tempat, per Tom's Hardware.
• Dalam tindak lanjut yang dilaporkan oleh Tom's Hardware, Li menggunakan Codex OpenAI dengan alat rekayasa balik perusahaannya terhadap perangkat lunak perlindungan USB dari produsen lain; Netac memakan waktu sekitar tujuh menit karena memiliki kunci tetap yang terpasang dan menulis kata sandi ke log diagnostik, dan drive vendor lain memiliki dua akun tersembunyi yang Li sebut sebagai pintu belakang. Untuk data pada stik USB, enkripsi file dengan perangkat lunak yang Anda kendalikan sebelum mencapai perangkat.
• Pada 31 Oktober 2026, Andrej Karpathy menjelaskan HackerTube, situs bergaya YouTube di hackertube.org yang dibangun dengan agen pengkodeannya dalam waktu sekitar dua jam. Agen tersebut mengunduh komentar Hacker News, menyaring spam dan menyimpan sekitar 40.000 yang merekomendasikan video YouTube, menghasilkan 6.454 video dari tahun 2007 hingga 2026 di 150 topik. Situs tersebut menampilkan bingkai pada tanda 50 persen, bukan thumbnail yang diunggah. Karpathy mencantumkan langkah-langkah manualnya sebagai kunci API Google Cloud, server, dan domain.
• CVE-2026-98432 adalah penggunaan-setelah-bebas dalam jabat tangan TCP IPv4 kernel Linux, dengan skor CVSS 9.8, dapat diakses oleh rekan jarak jauh tanpa login. Perbaikan Eric Dumazet mengganti dua panggilan kfree biasa dengan kfree_rcu dalam komit tanggal 1 Oktober; kernel stabil dengan perbaikan dikirim pada 11 dan 15 Oktober, dan bug tersebut kembali ke Linux 4.4. Red Hat menaikkan peringkatnya dari Penting menjadi Kritis pada 30 Oktober. Ubuntu dan Red Hat Enterprise Linux tidak mencantumkan kernel yang diperbaiki pada Sabtu malam, 31 Oktober. Instal kernel yang diperbaiki distribusi Anda dan reboot, termasuk host kontainer, karena kontainer berbagi kernel host.
• Anthropic mengatakan Claude menulis eksploitasi yang berfungsi untuk server Linux dengan pendengar TCP multipath, dan dalam bukti konsepnya membutuhkan 48 menit untuk membocorkan pointer kernel dan lima menit lagi untuk menjalankan perintah shell; eksploitasi tersebut tidak diterbitkan. Tim Keamanan Go mencatat bahwa program Go mengaktifkan pendengar TCP multipath secara default sejak Go 1.24 dan memperingatkan bahwa sistem tanpa pendengar tersebut mungkin rentan terhadap serangan serupa. Red Hat dan AlmaLinux menerbitkan aturan firewall yang menjatuhkan paket TCP IPv4 dengan opsi IP, yang menurut Red Hat mengurangi eksposur dan tidak sepenuhnya mencegah eksploitasi.

Transkrip terjemahan

Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube.

Pembukaan dingin: bagaimana klausa where mengatakan empat sama dengan lima?

0:00 Sebuah database yang mengiklankan Full ACID seharusnya menyimpan apa yang Anda tulis. Jepsen menguji satu dan menemukan sembilan puluh enam masalah, termasuk klausa where yang mengatakan empat sama dengan lima dan masih mengembalikan baris. Dalam video ini, empat cerita. Apa yang ditemukan Jepsen di database yang mengklaim Full ACID? Apa yang ada di dalam stik USB sidik jari yang dijual sebagai terenkripsi? Apa yang dibangun Andrej Karpathy suatu pagi? Dan apa yang Anda tambal untuk bug jaringan Linux?

0:26 Salah satu bug tersebut dilengkapi dengan stopwatch. Saya akan membacakannya untuk Anda di akhir. Ini hari Minggu, 1 November, dan ini adalah The Daily Diff. Jepsen adalah laboratorium pengujian Kyle Kingsbury. Ia menjalankan database melalui beban kerja dan kegagalan nyata dan memeriksa apakah jaminan di situs web berlaku. Anggap saja seorang inspektur yang benar-benar membuka kulkas.

Kisah pertama: apa yang ditemukan Jepsen di ParticleDB?

0:44 Kisah pertama. Pada hari Sabtu Jepsen menerbitkan laporannya tentang ParticleDB, database Rust dari Orkes yang ditujukan untuk agen AI. Orkes membayar pekerjaan tersebut. Halaman beranda mengatakan Full ACID, seratus lima puluh sembilan ribu transaksi per detik. Jepsen menguji ParticleDB dari build satu titik satu pertamanya hingga calon rilis akhir. Situs tersebut menyebutnya terbukti secara formal, dengan bukti TLA plus. Jepsen mengatakan tidak ada spesifikasi TLA plus yang tersedia selama pekerjaan.

1:10 Di bawah baris Full ACID, halaman yang sama mengatakan isolasi snapshot, yang tidak sepenuhnya terisolasi. Bug-bug itu tidak halus. Sebagian besar membutuhkan satu server, satu klien, dan tidak ada kegagalan yang disuntikkan. Sebuah klausa where yang mengatakan empat sama dengan lima mengembalikan baris. Sebuah klausa where yang mengatakan true tidak cocok dengan apa pun. Pembaruan meninggalkan dua baris dengan kunci utama yang sama. Rilis terakhir yang diuji Jepsen, rilis kandidat dua puluh dua,

1:36 jauh lebih aman. Meskipun demikian, mode transaksi default kehilangan penulisan yang dikomit selama operasi normal. Mode paling ketat masih memungkinkan pembaruan yang hilang setelah pemadaman proses. Orkes mengatakan rilis berikutnya memperbaiki semua ini. Jepsen belum mengujinya. Jadi dalam rilis terakhir itu database yang menjanjikan Full ACID bisa kehilangan penulisan yang sudah dikomit. Kecepatannya, saya kira, sangat bagus.

2:00 Saran Jepsen jelas. Hentikan penyebaran ParticleDB lebih lanjut dan bermigrasi ke database lain sesegera mungkin. Orkes menyalahkan refactor musim semi dan mengatakan bahwa pelanggannya sendiri, pada versi yang lebih lama, kemungkinan tidak terpengaruh. Dokumen prosedur tersimpan bahkan membuat alamat email untuk Kyle Kingsbury. Kisah kedua. Lenovo ThinkPlus FU seratus adalah stik USB sidik jari

Kisah kedua: apa yang ada di dalam stik USB sidik jari Lenovo?

2:21 yang dipasarkan sebagai perangkat keras terenkripsi dengan AES dua lima puluh enam. Peneliti keamanan Xusheng Li membongkar satu dan menemukan kartu SD biasa, tanpa ada yang terenkripsi di dalamnya. Pembaca sidik jari memutuskan satu hal, apakah stik terhubung ke komputer. File-file di kartu tidak pernah bergantung padanya. Li melaporkan cacat tersebut kepada Lenovo pada bulan Agustus dua puluh dua puluh lima. Perbaikan pertama adalah lapisan epoksi di atas kartu SD. Jadi file-file itu tidak pernah dienkripsi.

2:47 Tunggu, itu hanya kartu SD? Selalu begitu. Lenovo menilai sarannya tinggi. Perbaikan selanjutnya, untuk FU seratus dan tiga drive terkait, berarti menelepon saluran layanan di Tiongkok, lalu mengirim drive kembali atau mendapatkan peningkatan firmware di tempat. Lenovo menyarankan untuk menghapus drive terlebih dahulu. Minggu lalu Li mengarahkan Codex OpenAI, ditambah alat rekayasa balik

3:09 perusahaannya, ke perangkat lunak perlindungan USB dari produsen lain. Netac membutuhkan waktu sekitar tujuh menit, karena memiliki kunci tetap yang terpasang dan menulis kata sandi ke log diagnostik. Satu drive memiliki dua akun tersembunyi yang Li sebut sebagai pintu belakang. Jika keamanan drive adalah perangkat keras, periksa sendiri. Enkripsi file dengan perangkat lunak yang Anda kendalikan sebelum mencapai stik, dan perlakukan sidik jari sebagai kemudahan.

Kisah ketiga: apa yang dibangun Karpathy suatu pagi?

3:31 Kisah ketiga, yang ringan. Pada Jumat malam Andrej Karpathy membuka YouTube, melihat apa yang dia sebut dinding sampah yang "enshittified", dan pada Sabtu pagi menyuruh agen pengkodeannya untuk membangun pengganti dari apa pun yang direkomendasikan Hacker News. Agen tersebut mengunduh komentar Hacker News, menyaring spam, dan menyimpan sekitar empat puluh ribu yang merekomendasikan video YouTube. Itu menyisakan enam ribu empat ratus lima puluh empat video, dari tahun dua ribu tujuh hingga sekarang, dalam seratus lima puluh topik.

3:58 Situsnya adalah hackertube dot org. Ini menunjukkan bingkai dari tanda setengah jalan, bukan thumbnail yang diunggah pembuatnya, yang sedikit menyakitkan. Karpathy mengatakan seluruh pembangunan memakan waktu sekitar dua jam. Satu-satunya langkah manualnya adalah kunci API Google, server, dan domain. Pada tanggal dua belas Oktober saya memberi tahu Anda bahwa Karpathy berpikir akses dan tugas menciptakan celah dalam bagaimana orang memahami alat-alat ini. Dua jam kerja adalah titik data yang layak.

4:21 Kisah keempat, yang harus ditindaklanjuti.

Kisah keempat: apa yang Anda tambal untuk CVE-2026-98432?

4:23 CVE dua ribu dua puluh enam, sembilan puluh delapan empat tiga puluh dua adalah penggunaan-setelah-bebas dalam jabat tangan TCP I P v empat kernel Linux, dengan skor sembilan koma delapan dari sepuluh. Sebuah rekan jarak jauh tanpa login dapat mencapainya. Eric Dumazet menulis perbaikan pada tanggal satu Oktober. Perbaikan mencapai kernel stabil pada tanggal sebelas dan lima belas Oktober, dan bug tersebut kembali ke Linux empat koma empat. Red Hat menaikkan peringkatnya dari penting menjadi kritis pada tanggal tiga puluh Oktober. Pada Sabtu malam, Ubuntu dan Red Hat Enterprise Linux masih belum mencantumkan

4:52 kernel yang diperbaiki. Anthropic mengatakan Claude menulis eksploitasi yang berfungsi untuk server dengan pendengar TCP multipath, dan program Go telah membukanya secara default sejak Go satu titik dua puluh empat. Tim Go memperingatkan bahwa sistem tanpa pendengar tersebut mungkin rentan terhadap serangan serupa, dan mengatakan perbaikan terbaik adalah kernel yang ditambal. Jika distribusi Anda belum memiliki kernel yang diperbaiki, Red Hat dan AlmaLinux menerbitkan aturan firewall yang menjatuhkan paket TCP I P v empat yang membawa opsi IP. Red Hat mengatakan itu mengurangi eksposur dan tidak dapat sepenuhnya mencegahnya.

5:23 Setelah itu, Anda menunggu. Apa yang harus dilakukan hari ini. Instal kernel yang diperbaiki distribusi Anda dan reboot, pada host kontainer dan node Kubernetes juga, karena kontainer berbagi kernel host. Debian, Suse, dan Amazon Linux sudah memiliki perbaikan. Jika Anda belum bisa menambal, mulailah dengan host yang menjalankan pendengar TCP multipath. Sekarang stopwatch yang saya janjikan.

Kembali ke stopwatch: berapa lama eksploitasi itu berlangsung?

5:44 Dalam bukti konsep Anthropic sendiri, dibutuhkan empat puluh delapan menit untuk membocorkan pointer kernel, lalu lima menit lagi untuk menjalankan perintah shell. Anthropic belum menerbitkan eksploitasi tersebut. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, diff masuk ke kotak masuk Anda setiap pagi, gratis di the daily diff dot dev, tautan di bawah.

Putusan: REVERT

6:02 Jadi putusan hari ini adalah REVERT. Saya akan mengembalikan ParticleDB, karena saran Jepsen adalah menghentikan penyebaran, dan saya akan menambal kernel itu, karena dilengkapi dengan stopwatch. Dan itulah perbedaannya untuk hari ini. Saya Niko dari Axrisi. Gabungkan secara bertanggung jawab.

Sumber

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas