# Jepsen skýrsla ParticleDB, fingrafara-USB-lykill Lenovo, HackerTube Karpathys og Linux TCP villan CVE-2026-98432: fjórar sögur þróunaraðila í einum Daily Diff

Published: 2026-11-02

Fjórar sögur þróunaraðila, hver um sig rekjað til uppruna síns. Greining Jepsen á ParticleDB gagnagrunninum fann 96 vandamál, þar á meðal glataðar staðfestar færslur í sjálfgefnum viðskiptamóti síðustu útgáfu sem prófað var, og mælir með því að stöðva uppsetningu; prófið var fjármagnað af Orkes, sem segir að næsta útgáfa þeirra leysi allt. Lenovo ThinkPlus FU100 fingrafara-USB-lykill sem seldur var sem AES-256 dulritaður innihélt venjulegt SD-kort án nokkurrar dulkóðunar, samkvæmt rannsóknarmanni Xusheng Li eins og Tom's Hardware greindi frá. Andrej Karpathy bjó til HackerTube, síðu með 6.454 YouTube myndböndum sem mælt er með í Hacker News athugasemdum, á um tveimur tímum. Og Linux kjarninn CVE-2026-98432, IPv4 TCP use-after-free sem fékk 9.8 í einkunn, þarf lagaðan kjarna og endurræsingu. Dómurinn er REVERT.

Canonical: https://thedailydiff.dev/is/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Það sem þetta myndband fjallar um

- Jepsen, gagnagrunnsprófunarstofan sem rekin er af Kyle Kingsbury, birti greiningu sína á ParticleDB þann 31. október 2026. ParticleDB er Rust gagnagrunnur frá Orkes sem er ætlaður gervigreindarforritum; Orkes fjármagnaði verkið. Jepsen prófaði útgáfur 1.1.4 til 1.1.18.11.rc-22 á einum hnút og kynnir 96 vandamál, sem flest þurftu einn netþjón, einn viðskiptavin og engar villur. Dæmi í skýrslunni: WHERE 4 = 5 ákvæði skilaði línum með aðallykil 5, WHERE TRUE passaði ekkert, og UPDATE gæti skilið eftir margar línur með sama aðallykil.
- Heimasíða ParticleDB auglýsti „Full ACID. 159K TPS.“ og TLA+ sönnun, en Jepsen segir að engin TLA+ forskrift hafi verið tiltæk meðan á samstarfinu stóð, og textinn undir „Full ACID“ sagði einangrun skyndimyndar. Í 1.1.18.11.rc-22, síðustu útgáfunni sem Jepsen prófaði, missti sjálfgefinn occ viðskiptamáti enn staðfestar færslur við venjulega notkun, og strangasti raðvalshátturinn leyfði tapaðar uppfærslur eftir að ferlar voru drepnir. Orkes segir að útgáfa 1.1.19-rc.13 leysi öll eftirstandandi vandamál; Jepsen hefur ekki metið hana og mælir með því að notendur stöðvi frekari uppsetningu ParticleDB og flytji sig yfir í aðra gagnagrunna.
- Öryggisrannsakandi Xusheng Li komst að því að Lenovo ThinkPlus FU100 fingrafara-USB-lykillinn, sem var markaðssettur sem vélbúnaðardulritaður með AES-256, innihélt venjulegt SD-kort sem gögnin voru ekki dulkóðuð; fingrafaralesarinn kveikti aðeins á USB-tengingunni. Hann greindi frá því 2. ágúst 2025, og fyrsta lausn Lenovo var lag af epoxy yfir SD-kortið. Lenovo gaf eigin ráðgjöf háa einkunn, og síðari lausn fyrir FU100 og tengda drif krefst þess að hringja í þjónustulínu í Kína, síðan skipti eða uppfærslu vélbúnaðar á staðnum, samkvæmt Tom's Hardware.
- Í framhaldsskýrslu sem Tom's Hardware greindi frá, notaði Li Codex OpenAI með afturvirkri verkfræðitóli vinnuveitanda síns gegn USB verndarhugbúnaði annarra framleiðenda; Netac tók um sjö mínútur vegna þess að það hafði fastan lykil innbyggðan og skrifaði lykilorðið í greiningarskrár, og drif annars söluaðila hafði tvo falna reikninga sem Li kallar bakdyr. Fyrir gögn á USB-lykil, dulkóðaðu skrár með hugbúnaði sem þú stýrir áður en þær ná tækinu.
- Þann 31. október 2026 lýsti Andrej Karpathy HackerTube, vefsíðu í YouTube-stíl á hackertube.org sem byggð var með kóðunarforritinu hans á um tveimur tímum. Forritið sótti Hacker News athugasemdir, síaði út ruslpóst og geymdi um 40.000 sem mæltu með YouTube myndbandi, sem skilaði 6.454 myndböndum frá 2007 til 2026 yfir 150 efni. Síðan sýnir ramma við 50 prósent markið í stað upphlaðinnar smámyndar. Karpathy listar handvirka skref sín sem Google Cloud API lykil, netþjón og lén.
- CVE-2026-98432 er use-after-free í IPv4 TCP handbandi Linux kjarnans, skorað CVSS 9.8, náanlegt af fjarstýrðum jafningja án innskráningar. Lagfæring Eric Dumazet skipti tveimur venjulegum kfree kallum út fyrir kfree\_rcu í útgáfu dagsins 1. október; stöðugir kjarnar með lagfæringunni voru sendir út 11. og 15. október, og villan nær aftur til Linux 4.4. Red Hat hækkaði einkunn sína úr Important í Critical 30. október. Ubuntu og Red Hat Enterprise Linux listuðu enga lagaða kjarna laugardagskvöldið 31. október. Settu upp lagaðan kjarna dreifingarinnar og endurræstu, þar á meðal gámaþjóna, því gámar deila gestakjarnanum.
- Anthropic segir að Claude hafi skrifað virkt nýtingarforrit fyrir Linux netþjóna með fjölþátta TCP hlustara, og að í sönnun þeirra taki það 48 mínútur að leka kjarnabendi og fimm mínútur til viðbótar til að keyra skel skipun; nýtingarforritið er ekki gefið út. Go Security Team bendir á að Go forrit virkja fjölþátta TCP hlustara sjálfgefið síðan Go 1.24 og varar við því að kerfi án þess hlustara geti verið viðkvæm fyrir svipuðum árásum. Red Hat og AlmaLinux birta eldveggreglu sem fellir IPv4 TCP pakka með IP valkostum, sem Red Hat segir að minnki útsetningu og komi ekki að fullu í veg fyrir nýtingu.

## Spurningar og svör

### Hvað fann Jepsen í ParticleDB gagnagrunninum og hvað mælir hann með?

Greining Jepsen á ParticleDB, gefin út 31. október 2026 og fjármögnuð af Orkes, sýnir 96 vandamál í útgáfum 1.1.4 til 1.1.18.11.rc-22, þar á meðal að WHERE 4 = 5 skili línum. Í síðustu prófuðu útgáfunni missti sjálfgefinn færslumáti enn staðfestar færslur við venjulega notkun. Jepsen mælir með því að notendur stöðvi frekari dreifingu ParticleDB og flytji sig yfir í aðra gagnagrunna.

### Var Lenovo ThinkPlus FU100 fingrafara-USB-lykillinn í raun AES-256 dulkóðaður?

Samkvæmt rannsóknarmanni Xusheng Li, eins og Tom's Hardware og HackingPassion greindu frá, var FU100 markaðssettur sem AES-256 vélbúnaðardulkóðaður en innihélt venjulegt SD-kort án nokkurrar dulkóðunar. Fingrafaralesarinn virkjaði aðeins USB-tenginguna. Fyrsta lagfæring Lenovo var epoxy yfir kortið, og síðari lagfæring krefst þess að hringja í þjónustulínu í Kína fyrir skipti eða uppfærslu vélbúnaðar á staðnum.

### Hvað er HackerTube og hvernig byggði Andrej Karpathy það?

HackerTube á hackertube.org er vefsíða í YouTube-stíl með 6.454 myndböndum sem mælt er með í athugasemdum Hacker News frá 2007 til 2026, yfir 150 efni. Færsla Karpathys segir að kóðunarforritið hans hafi sótt athugasemdirnar, síað ruslpóst og geymt um 40.000 sem mæltu með myndbandi, og að byggingin taki um tvo tíma. Handvirku skrefin hans voru Google Cloud API lykill, netþjónn og lén.

### Hvernig laga ég Linux kjarnavilluna CVE-2026-98432 og hvaða dreifingar hafa lagaðan kjarna?

Settu upp lagaðan kjarna dreifingarinnar og endurræstu, þar á meðal gámaþjóna og Kubernetes hnútum, þar sem gámar deila gestakjarnanum. Gallinn er IPv4 TCP use-after-free sem fékk CVSS 9.8 í einkunn, lagaður uppstreymis í stöðugum kjörnum 11. og 15. október. Samkvæmt Atlas 31. október höfðu Debian, SUSE og Amazon Linux lagfæringar, á meðan Ubuntu og Red Hat Enterprise Linux höfðu engar; Red Hat birtir eldveggsvörn sem dregur úr útsetningu.

### Hver var dómur The Daily Diff yfir þessum fjórum sögum?

Dómur The Daily Diff var REVERT. Ráð Jepsen varðandi ParticleDB er að stöðva frekari uppsetningu og flytja sig yfir, og Linux kjarnavillan CVE-2026-98432 þarfnast lagaðs kjarna og endurræsingar, en eigin sönnun Anthropic tekur 48 mínútur að leka kjarnabendi og fimm mínútur til viðbótar til að keyra skelskipun.

## Kaflar

- 0:00 Kalt upphaf: hvernig segir where klausa fjórir jafnt og fimm?
- 0:44 Fyrsta saga: hvað fann Jepsen í ParticleDB?
- 2:17 Önnur saga: hvað var inni í fingrafara-USB-lykil Lenovo?
- 3:31 Þriðja saga: hvað byggði Karpathy á einum morgni?
- 4:22 Fjórða saga: hvað lagfærir þú fyrir CVE-2026-98432?
- 5:43 Aftur í sekúnduvísirinn: hversu langan tíma tók nýtingarforritið?
- 6:02 Dómur: REVERT

## Þýtt afrit

Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.

### Kalt upphaf: hvernig segir where klausa fjórir jafnt og fimm?

0:00 Gagnagrunnur sem auglýsir Full ACID á að geyma það sem þú skrifar. Jepsen prófaði einn og fann níutíu og sex vandamál, þar á meðal "where"-setningu sem sagði fjórir jafnt og fimm og skilaði samt línum. Í þessu myndbandi, fjórar sögur. Hvað fann Jepsen í gagnagrunni sem sagðist vera Full ACID? Hvað var inni í fingrafara-USB-lykli sem var seldur sem dulkóðaður? Hvað byggði Andrej Karpathy á einum morgni? Og hvað lagfærir þú fyrir Linux netvillu?

0:26 Ein af þessum villum fylgir sekúnduvísir. Ég mun lesa hana fyrir þig í lokin. Það er sunnudagur, fyrsti nóvember, og þetta er The Daily Diff. Jepsen er prófunarstofa Kyle Kingsbury. Hún keyrir gagnagrunn í gegnum raunverulegar vinnuálög og bilanir og athugar hvort ábyrgðir á vefsíðunni standist. Hugsaðu um skoðunarmann sem opnar í raun ísskápinn.

### Fyrsta saga: hvað fann Jepsen í ParticleDB?

0:44 Fyrsta saga. Á laugardaginn birti Jepsen skýrslu sína um ParticleDB, Rust gagnagrunn frá Orkes sem ætlaður er gervigreindarforritum. Orkes borgaði fyrir verkið. Heimasíðan sagði Full ACID, hundrað fimmtíu og níu þúsund færslur á sekúndu. Jepsen prófaði ParticleDB frá fyrstu 1.1 útgáfunni til seinnar útgáfuprófútgáfu. Síðan kallaði það formlega sannað, með TLA plús sönnun. Jepsen segir að engin TLA plús forskrift hafi verið tiltæk meðan á vinnunni stóð.

1:10 Undir Full ACID línunni sagði sama síða einangrun skyndimyndar, sem er ekki fullkomlega einangruð. Villurnar voru ekki lúmskar. Flestir þurftu einn netþjón, einn biðlara og engar bilanir inntakar. Hvar ákvæði sem sagði fjórir jafnt og fimm skilaði línum. Hvar ákvæði sem sagði satt passaði ekkert. Uppfærslur skildu eftir tvær línur með sama aðallykil. Síðasta útgáfan sem Jepsen prófaði, útgáfa tuttugu og tvö,

1:36 var mun öruggari. Samt sem áður tapaði sjálfgefinn færslumáti staðfestum færslum við venjulega aðgerð. Ströngustu stillingarnar leyfðu samt tapaðar uppfærslur eftir að ferli var drepið. Orkes segir að næsta útgáfa þeirra lagfæri allt þetta. Jepsen hefur ekki prófað hana. Svo í þeirri síðustu útgáfu gat gagnagrunnur sem lofaði Full ACID tapað skrifum sem hann hafði þegar skuldbundið sig til. Hraðinn, geri ég ráð fyrir, var frábær.

2:00 Ráð Jepsen er skýrt. Stöðvið frekari uppsetningu ParticleDB og flytjið yfir í annan gagnagrunn eins fljótt og mögulegt er. Orkes kennir vorbreytingum um og segir að eigin viðskiptavinir þeirra, á eldri útgáfu, hafi líklega ekki orðið fyrir áhrifum. Skjöl geymdra aðferða fundu jafnvel upp netfang fyrir Kyle Kingsbury. Saga tvö. Lenovo ThinkPlus FU eitt hundrað er fingrafara-USB-lykill

### Önnur saga: hvað var inni í fingrafara-USB-lykil Lenovo?

2:21 markaðssettur sem vélbúnaðardulritaður með AES tveimur hundruð fimmtíu og sex. Öryggisrannsakandi Xusheng Li tók einn í sundur og fann venjulegt SD-kort, án nokkurs dulkóðaðs efnis á því. Fingrafaralesarinn ákvað eitt, hvort lykillinn tengdist tölvunni. Skrárnar á kortinu réðust aldrei af því. Li greindi frá gallanum til Lenovo í ágúst tvö þúsund tuttugu og fimm. Fyrsta lagfæringin var lag af epoxy yfir SD-kortið. Svo skrárnar voru aldrei dulkóðaðar.

2:47 Bíddu, er þetta bara SD-kort? Hefur alltaf verið. Lenovo gaf eigin ráðgjöf háa einkunn. Síðari lagfæringin, fyrir FU eitt hundrað og þrjá tengda drif, þýðir að hringja í þjónustulínu í Kína, síðan annað hvort senda drifið aftur eða fá uppfærslu á fastbúnaði á staðnum. Lenovo ráðleggur að þurrka drifið fyrst. Í síðustu viku benti Li OpenAI's Codex, auk afturvirkrar verkfræðitóls vinnuveitanda síns,

3:09 á USB-verndarhugbúnað annarra framleiðenda. Netac tók um sjö mínútur, vegna þess að það hafði fastan lykil innbyggðan og skrifaði lykilorðið í greiningarskrár. Eitt drif hafði tvo falna reikninga sem Li kallar bakdyr. Ef öryggi drifs er vélbúnaðurinn, athugaðu það sjálfur. Dulritaðu skrárnar með hugbúnaði sem þú stýrir áður en þær ná lyklinum, og líttu á fingrafarið sem þægindi.

### Þriðja saga: hvað byggði Karpathy á einum morgni?

3:31 Saga þrjú, sú létta. Á föstudagskvöldið opnaði Andrej Karpathy YouTube, sá það sem hann kallaði „enshittified wall of slop“, og á laugardagsmorgun sagði hann kóðunarforritinu sínu að byggja upp nýjan stað út frá því sem Hacker News mælir með. Forritið sótti Hacker News athugasemdirnar, síaði út ruslpóst, og geymdi um fjörutíu þúsund sem mæltu með YouTube myndbandi. Það skildi eftir sex þúsund fjögur hundruð fimmtíu og fjögur myndbönd, frá tvö þúsund og sjö til dagsins í dag, í hundrað og fimmtíu efnum.

3:58 Vefsíðan er hackertube dot org. Hún sýnir rammann frá miðjum merkjum í stað smámyndarinnar sem upphleðsluaðilinn valdi, sem stingur svolítið. Karpathy segir að öll byggingin hafi tekið um tvo tíma. Einu handvirku skrefin hans voru Google API lykill, netþjónn og lén. Þann tólfta október sagði ég þér að Karpathy heldur að aðgangur og verkefni skapi bil í hvernig fólk skilur þessi verkfæri. Tveggja tíma vinna er ágætur gagnapunktur.

4:21 Saga fjögur, sú sem á að bregðast við.

### Fjórða saga: hvað lagfærir þú fyrir CVE-2026-98432?

4:23 CVE tvö þúsund tuttugu og sex, níu átta fjögur þrjú tvö er use-after-free í IPv4 TCP handabandi Linux kjarnans, skorað níu komma átta af tíu. Fjarstýrður jafningi án innskráningar getur náð til þess. Eric Dumazet skrifaði lagfæringuna 1. október. Lagfæringin náði stöðugum kjörnum 11. og 15. október, og villan nær aftur til Linux fjögur komma fjögur. Red Hat hækkaði einkunn sína úr mikilvægu í gagnrýnivert 30. október. Á laugardagskvöldið listuðu Ubuntu og Red Hat Enterprise Linux enn enga lagaða

4:52 kjarna. Anthropic segir að Claude hafi skrifað virkt nýtingarforrit fyrir netþjóna með fjölþátta TCP hlustara, og Go forrit hafa opnað þá sjálfgefið síðan Go eitt komma tuttugu fjögur. Go teymið varar við því að kerfi án þess hlustara geti verið viðkvæm fyrir svipuðum árásum, og segir að besta lausnin sé lagaður kjarni. Ef dreifingin þín hefur ekki lagaðan kjarna ennþá, birta Red Hat og AlmaLinux eldveggreglu sem fellir IPv4 TCP pakka sem bera IP valkosti. Red Hat segir að það minnki útsetningu og geti ekki að fullu komið í veg fyrir hana.

5:23 Eftir það bíður þú. Hvað á að gera í dag. Settu upp lagaðan kjarna dreifingarinnar og endurræstu, á gámaþjónum og Kubernetes hnútum líka, því gámar deila gestakjarnanum. Debian, Suse og Amazon Linux hafa þegar lagfæringar. Ef þú getur ekki lagað ennþá, byrjaðu á gestgjöfum sem keyra fjölþátta TCP hlustara. Núna sekúnduvísirinn sem ég lofaði.

### Aftur í sekúnduvísirinn: hversu langan tíma tók nýtingarforritið?

5:44 Í eigin sönnun Anthropic tekur það fjörutíu og átta mínútur að leka kjarnabendi, síðan fimm mínútur til viðbótar til að keyra skel skipun. Anthropic hefur ekki birt nýtingarforritið. Ef þú vilt frekar lesa þetta en heyra mig segja það, þá lendir munurinn í pósthólfinu þínu á hverjum morgni, ókeypis á the daily diff dot dev, hlekkur hér að neðan.

### Dómur: REVERT

6:02 Svo dómur dagsins er REVERT. Ég myndi snúa ParticleDB til baka, því ráð Jepsen er að stöðva dreifingu, og ég myndi lagfæra þennan kjarna, því hann kemur með sekúnduvísi. Og það er munurinn fyrir í dag. Ég er Niko frá Axrisi. Sameinaðu á ábyrgan hátt.

## Heimildir

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas