Il report Jepsen di ParticleDB, la chiavetta USB con impronta digitale di Lenovo, HackerTube di Karpathy e il bug TCP di Linux CVE-2026-98432: quattro storie di sviluppatori in un Daily Diff

Contenuto di questo video

• Jepsen, il laboratorio di test di database gestito da Kyle Kingsbury, ha pubblicato la sua analisi di ParticleDB il 31 ottobre 2026. ParticleDB è un database Rust di Orkes destinato agli agenti AI; Orkes ha finanziato il lavoro. Jepsen ha testato le versioni da 1.1.4 a 1.1.18.11.rc-22 su un singolo nodo e presenta 96 problemi, la maggior parte dei quali necessitava di un server, un client e nessun errore. Esempi nel report: una clausola WHERE 4 = 5 restituiva righe con chiave primaria 5, WHERE TRUE non corrispondeva a nulla e un UPDATE poteva lasciare più righe con la stessa chiave primaria.
• La homepage di ParticleDB pubblicizzava 'Full ACID. 159K TPS.' e una prova TLA+, ma Jepsen afferma che nessuna specifica TLA+ era disponibile durante la collaborazione e il testo sotto 'Full ACID' indicava l'isolamento snapshot. Nella 1.1.18.11.rc-22, l'ultima versione testata da Jepsen, la modalità di transazione predefinita occ perdeva ancora scritture confermate durante il normale funzionamento e la modalità serializzabile più rigorosa consentiva Lost Update dopo l'eliminazione dei processi. Orkes afferma che la versione 1.1.19-rc.13 risolve tutti i problemi rimanenti; Jepsen non l'ha valutata e raccomanda agli utenti di interrompere l'ulteriore distribuzione di ParticleDB e di migrare ad altri database.
• Il ricercatore di sicurezza Xusheng Li ha scoperto che la chiavetta USB con impronta digitale Lenovo ThinkPlus FU100, commercializzata come crittografata hardware con AES-256, conteneva una normale scheda SD i cui dati non erano crittografati; il lettore di impronte digitali attivava solo la connessione USB. Lo ha segnalato il 2 agosto 2025 e la prima soluzione di Lenovo è stata uno strato di resina epossidica sulla scheda SD. Lenovo ha classificato il suo avviso come alto, e una successiva soluzione per la FU100 e le unità correlate richiede di chiamare una linea di assistenza in Cina, quindi una sostituzione o un aggiornamento del firmware in loco, secondo Tom's Hardware.
• In un follow-up riportato da Tom's Hardware, Li ha utilizzato Codex di OpenAI con lo strumento di reverse engineering del suo datore di lavoro contro il software di protezione USB di altri produttori; quello di Netac ha impiegato circa sette minuti perché aveva una chiave fissa incorporata e scriveva la password nei log diagnostici, e l'unità di un altro fornitore aveva due account nascosti che Li chiama "backdoor". Per i dati su una chiavetta USB, crittografa i file con il software che controlli prima che raggiungano il dispositivo.
• Il 31 ottobre 2026 Andrej Karpathy ha descritto HackerTube, un sito in stile YouTube su hackertube.org costruito con il suo agente di codifica in circa due ore. L'agente ha scaricato i commenti di Hacker News, ha filtrato lo spam e ne ha conservati circa 40.000 che raccomandano un video di YouTube, producendo 6.454 video dal 2007 al 2026 su 150 argomenti. Il sito mostra il fotogramma al 50% invece della miniatura caricata. Karpathy elenca i suoi passaggi manuali come una chiave API di Google Cloud, un server e un dominio.
• CVE-2026-98432 è un use-after-free nell'handshake TCP IPv4 del kernel Linux, con un punteggio CVSS di 9.8, raggiungibile da un peer remoto senza login. La correzione di Eric Dumazet ha sostituito due semplici chiamate kfree con kfree_rcu in un commit datato 1° ottobre; i kernel stabili con la correzione sono stati rilasciati l'11 e il 15 ottobre, e il bug risale a Linux 4.4. Red Hat ha aumentato il suo rating da Importante a Critico il 30 ottobre. Ubuntu e Red Hat Enterprise Linux non hanno elencato alcun kernel corretto sabato sera, 31 ottobre. Installa il kernel corretto della tua distribuzione e riavvia, inclusi gli host di container, perché i container condividono il kernel dell'host.
• Anthropic afferma che Claude ha scritto un exploit funzionante per i server Linux con un listener TCP multipath e che nel suo proof of concept impiega 48 minuti per far trapelare un puntatore del kernel e altri cinque minuti per eseguire un comando shell; l'exploit non è pubblicato. Il Go Security Team nota che i programmi Go abilitano i listener TCP multipath per impostazione predefinita a partire da Go 1.24 e avverte che i sistemi senza tale listener potrebbero essere vulnerabili ad attacchi simili. Red Hat e AlmaLinux pubblicano una regola del firewall che scarta i pacchetti TCP IPv4 con opzioni IP, che Red Hat afferma riduca l'esposizione e non impedisca completamente lo sfruttamento.

Trascrizione tradotta

Tradotto dalla narrazione originale inglese. L'audio e i sottotitoli disponibili sono controllati da YouTube.

Apertura a freddo: come fa una clausola where a dire che quattro è uguale a cinque?

0:00 Un database che pubblicizza Full ACID dovrebbe mantenere ciò che scrivi. Jepsen ne ha testato uno e ha trovato novantasei problemi, inclusa una clausola where che diceva quattro è uguale a cinque e restituiva comunque righe. In questo video, quattro storie. Cosa ha trovato Jepsen in un database che dichiarava Full ACID? Cosa c'era all'interno di una chiavetta USB con impronta digitale venduta come crittografata? Cosa ha costruito Andrej Karpathy in una mattina? E cosa si patcha per un bug di rete di Linux?

0:26 Uno di questi bug arriva con un cronometro. Ve lo leggerò alla fine. È domenica primo novembre, e questo è The Daily Diff. Jepsen è il laboratorio di test di Kyle Kingsbury. Esegue un database attraverso carichi di lavoro e guasti reali e verifica se le garanzie sul sito web reggono. Pensate a un ispettore che apre davvero il frigorifero.

Prima storia: cosa ha trovato Jepsen in ParticleDB?

0:44 Prima storia. Sabato Jepsen ha pubblicato il suo rapporto su ParticleDB, un database Rust di Orkes destinato agli agenti AI. Orkes ha pagato per il lavoro. La homepage diceva Full ACID, centocinquantanove mila transazioni al secondo. Jepsen ha testato ParticleDB dalla sua prima build 1.1 fino a un tardo release candidate. Il sito lo chiamava "formalmente provato", con una prova TLA plus. Jepsen afferma che nessuna specifica TLA plus era disponibile durante il lavoro.

1:10 Sotto la riga Full ACID, la stessa pagina diceva "snapshot isolation", che non è completamente isolata. I bug non erano sottili. La maggior parte richiedeva un server, un client e nessun errore iniettato. Una clausola where che diceva "quattro è uguale a cinque" restituiva righe. Una clausola where che diceva "true" non corrispondeva a nulla. Gli aggiornamenti lasciavano due righe con la stessa chiave primaria. L'ultima versione testata da Jepsen, release candidate ventidue,

1:36 era molto più sicura. Anche così, la modalità di transazione predefinita perdeva scritture confermate durante il normale funzionamento. La modalità più rigorosa consentiva comunque aggiornamenti persi dopo l'eliminazione di un processo. Orkes afferma che la sua prossima versione risolve tutto questo. Jepsen non l'ha testata. Quindi in quell'ultima versione un database che prometteva Full ACID poteva perdere una scrittura che aveva già impegnato. La velocità, suppongo, era eccellente.

2:00 Il consiglio di Jepsen è chiaro. Interrompere l'ulteriore distribuzione di ParticleDB e migrare a un altro database il prima possibile. Orkes attribuisce la colpa a un refactoring di primavera e afferma che i suoi stessi clienti, su una versione precedente, probabilmente non sono stati influenzati. I documenti delle stored procedure hanno persino inventato un indirizzo email per Kyle Kingsbury. Seconda storia. La Lenovo ThinkPlus FU cento è una chiavetta USB con impronta digitale

Seconda storia: cosa c'era all'interno della chiavetta USB con impronta digitale Lenovo?

2:21 commercializzata come crittografata hardware con AES duecentocinquantasei. Il ricercatore di sicurezza Xusheng Li ne ha smontata una e ha trovato una normale scheda SD, senza nulla di crittografato. Il lettore di impronte digitali decideva una cosa sola, se la chiavetta si connetteva al computer. I file sulla scheda non dipendevano mai da esso. Li ha segnalato il difetto a Lenovo nell'agosto duemilaventicinque. La prima soluzione è stata uno strato di resina epossidica sulla scheda SD. Quindi i file non sono mai stati crittografati.

2:47 Aspetta, è solo una scheda SD? Lo è sempre stato. Lenovo ha classificato il proprio avviso come alto. La soluzione successiva, per la FU cento e tre unità correlate, significa chiamare una linea di assistenza in Cina, quindi o rispedire l'unità o ottenere un aggiornamento del firmware in loco. Lenovo consiglia di cancellare prima l'unità. La scorsa settimana Li ha utilizzato il Codex di OpenAI, più lo strumento di reverse engineering del suo datore di lavoro,

3:09 sul software di protezione USB di altri produttori. Quello di Netac ha impiegato circa sette minuti, perché aveva una chiave fissa incorporata e scriveva la password nei log diagnostici. Un'unità aveva due account nascosti che Li chiama "backdoor". Se la sicurezza di un'unità è l'hardware, controllala tu stesso. Crittografa i file con il software che controlli prima che raggiungano la chiavetta, e tratta l'impronta digitale come una comodità.

Terza storia: cosa ha costruito Karpathy in una mattina?

3:31 Terza storia, quella leggera. Venerdì sera Andrej Karpathy ha aperto YouTube, ha visto quello che ha chiamato un "muro di schifezze infettato", e sabato mattina ha detto al suo agente di codifica di costruire un sostituto da ciò che Hacker News raccomanda. L'agente ha scaricato i commenti di Hacker News, ha filtrato lo spam, e ne ha conservati circa quarantamila che raccomandano un video di YouTube. Questo ha lasciato seimilaquattrocentocinquantaquattro video, dal duemilasette ad oggi, in centocinquanta argomenti.

3:58 Il sito è hackertube punto org. Mostra il fotogramma della metà invece della miniatura scelta dall'uploader, il che un po' brucia. Karpathy dice che l'intera costruzione ha richiesto circa due ore. I suoi unici passaggi manuali sono stati una chiave API di Google, un server e un dominio. Il dodici ottobre vi ho detto che Karpathy pensa che l'accesso e i compiti creino un divario nel modo in cui le persone comprendono questi strumenti. Due ore di lavoro sono un buon dato.

4:21 Quarta storia, quella su cui agire.

Quarta storia: cosa si patcha per CVE-2026-98432?

4:23 CVE duemilaventisei, novantottoquattrocentotrentadue è un use-after-free nell'handshake TCP IPv4 del kernel Linux, con un punteggio di nove virgola otto su dieci. Un peer remoto senza login può raggiungerlo. Eric Dumazet ha scritto la patch il primo ottobre. La patch ha raggiunto i kernel stabili l'undici e il quindici ottobre, e il bug risale a Linux quattro punto quattro. Red Hat ha aumentato il suo rating da "importante" a "critico" il trenta ottobre. Sabato sera, Ubuntu e Red Hat Enterprise Linux non elencavano ancora alcun kernel

4:52 corretto. Anthropic afferma che Claude ha scritto un exploit funzionante per i server con un listener TCP multipath, e i programmi Go li hanno aperti per impostazione predefinita da Go uno punto ventiquattro. Il team Go avverte che i sistemi senza quel listener potrebbero essere vulnerabili ad attacchi simili, e afferma che la migliore soluzione è un kernel patchato. Se la tua distribuzione non ha ancora un kernel corretto, Red Hat e AlmaLinux pubblicano una regola del firewall che scarta i pacchetti TCP IPv4 che trasportano opzioni IP. Red Hat afferma che riduce l'esposizione e non può prevenirla completamente.

5:23 Dopodiché, aspetti. Cosa fare oggi. Installa il kernel corretto della tua distribuzione e riavvia, anche sugli host di container e sui nodi Kubernetes, perché i container condividono il kernel dell'host. Debian, Suse e Amazon Linux hanno già delle correzioni. Se non puoi ancora applicare la patch, inizia con gli host che eseguono i listener TCP multipath. Ora il cronometro che ho promesso.

Tornando al cronometro: quanto tempo ha impiegato l'exploit?

5:44 Nel proof of concept di Anthropic, ci vogliono quarantotto minuti per far trapelare un puntatore del kernel, poi altri cinque minuti per eseguire un comando shell. Anthropic non ha pubblicato l'exploit. Se preferisci leggere questo piuttosto che sentirmi dirlo, il diff arriva nella tua casella di posta ogni mattina, gratuitamente su the daily diff punto dev, link sotto.

Verdetto: REVERT

6:02 Quindi il verdetto di oggi è REVERT. Reverterei ParticleDB, perché il consiglio di Jepsen è di interrompere la distribuzione, e patcherei quel kernel, perché è dotato di un cronometro. E questo è il "diff" di oggi. Sono Niko di Axrisi. Esegui il merge responsabilmente.

Fonti

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas