ParticleDB-ის Jepsen-ის მოხსენება, Lenovo-ს თითის ანაბეჭდის USB ჯოხი, კარპატის HackerTube და Linux TCP შეცდომა CVE-2026-98432: ოთხი დეველოპერის ისტორია ერთ Daily Diff-ში

რას მოიცავს ეს ვიდეო

• Jepsen-მა, კაილ კინგსბერის მიერ მართულმა მონაცემთა ბაზის ტესტირების ლაბორატორიამ, გამოაქვეყნა ParticleDB-ის ანალიზი 2026 წლის 31 ოქტომბერს. ParticleDB არის Rust მონაცემთა ბაზა Orkes-დან, რომელიც მიზნად ისახავს AI აგენტებს; Orkes-მა დააფინანსა ეს ნამუშევარი. Jepsen-მა შეამოწმა 1.1.4-დან 1.1.18.11.rc-22 ვერსიები ერთ კვანძზე და წარმოადგინა 96 პრობლემა, რომელთა უმეტესობას სჭირდებოდა ერთი სერვერი, ერთი კლიენტი და არანაირი ხარვეზი. მოხსენებაში მოყვანილი მაგალითები: WHERE 4 = 5 პუნქტმა დააბრუნა რიგები პირველადი გასაღებით 5, WHERE TRUE არაფერს არ ემთხვეოდა, და UPDATE-ს შეეძლო დაეტოვებინა მრავალი რიგი ერთი და იგივე პირველადი გასაღებით.
• ParticleDB-ის მთავარი გვერდი რეკლამირებდა „სრულ ACID-ს. 159K TPS.“ და TLA+ მტკიცებულებას, მაგრამ Jepsen ამბობს, რომ თანამშრომლობის დროს TLA+ სპეციფიკაცია არ იყო ხელმისაწვდომი, და ტექსტი „სრული ACID“-ის ქვეშ ამბობდა snapshot isolation-ს. 1.1.18.11.rc-22-ში, ბოლო ვერსიაში, რომელიც Jepsen-მა შეამოწმა, ნაგულისხმევი occ ტრანზაქციის რეჟიმი მაინც კარგავდა დაფიქსირებულ ჩანაწერებს ნორმალური მუშაობის დროს, და უმკაცრესი სერიალიზებადი რეჟიმი იძლეოდა დაკარგული განახლების საშუალებას პროცესის მოკვლის შემდეგ. Orkes ამბობს, რომ 1.1.19-rc.13 ვერსია აგვარებს ყველა დარჩენილ პრობლემას; Jepsen-მა ის არ შეაფასა და რეკომენდაციას უწევს მომხმარებლებს შეაჩერონ ParticleDB-ის შემდგომი განლაგება და გადავიდნენ სხვა მონაცემთა ბაზებზე.
• უსაფრთხოების მკვლევარმა Xusheng Li-მ აღმოაჩინა, რომ Lenovo ThinkPlus FU100 თითის ანაბეჭდის USB ჯოხი, რომელიც ბაზარზე რეკლამირებული იყო როგორც AES-256-ით აპარატურულად დაშიფრული, შეიცავდა ჩვეულებრივ SD ბარათს, რომლის მონაცემებიც არ იყო დაშიფრული; თითის ანაბეჭდის წამკითხველი მხოლოდ რთავდა USB კავშირს. მან ეს მოახსენა 2025 წლის 2 აგვისტოს, და Lenovo-ს პირველი გამოსწორება იყო ეპოქსიდური ფენა SD ბარათზე. Lenovo-მ თავისი რჩევა მაღალ რანგში შეაფასა, და FU100-ისა და მასთან დაკავშირებული დისკების შემდგომი გამოსწორება მოითხოვს ჩინეთში სერვისის ხაზზე დარეკვას, შემდეგ შეცვლას ან ადგილზე firmware-ის განახლებას, Tom's Hardware-ის მიხედვით.
• Tom's Hardware-ის მიერ მოხსენებულ შემდგომში, Li-მ გამოიყენა OpenAI-ს Codex თავისი დამსაქმებლის უკუ ინჟინერიის ხელსაწყოსთან ერთად სხვა მწარმოებლების USB დაცვის პროგრამული უზრუნველყოფის წინააღმდეგ; Netac-ისას დაახლოებით შვიდი წუთი დასჭირდა, რადგან მასში ჩაშენებული იყო ფიქსირებული გასაღები და პაროლი ჩაწერა დიაგნოსტიკურ ჟურნალებში, ხოლო სხვა გამყიდველის დისკს ჰქონდა ორი ფარული ანგარიში, რომლებსაც Li უკანა კარებს უწოდებს. USB ჯოხზე მონაცემებისთვის, დაშიფრეთ ფაილები პროგრამული უზრუნველყოფით, რომელსაც თქვენ აკონტროლებთ, სანამ ისინი მოწყობილობას მიაღწევენ.
• 2026 წლის 31 ოქტომბერს ანდრეი კარპატიმ აღწერა HackerTube, YouTube-ის სტილის საიტი hackertube.org-ზე, რომელიც ააშენა თავისი კოდირების აგენტთან ერთად დაახლოებით ორ საათში. აგენტმა ჩამოტვირთა Hacker News-ის კომენტარები, გაფილტრა სპამი და შეინახა დაახლოებით 40,000, რომლებიც YouTube ვიდეოს რეკომენდაციას უწევდნენ, რამაც გამოიღო 6,454 ვიდეო 2007-დან 2026 წლამდე 150 თემაზე. საიტი აჩვენებს ფრეიმს 50 პროცენტიან ნიშნულზე ატვირთული ესკიზის ნაცვლად. კარპატი თავის სახელმძღვანელო ნაბიჯებს ჩამოთვლის როგორც Google Cloud API გასაღებს, სერვერს და დომენს.
• CVE-2026-98432 არის use-after-free Linux ბირთვის IPv4 TCP handshake-ში, CVSS 9.8 ქულით, ხელმისაწვდომია დისტანციური თანამოსაუბრის მიერ შესვლის გარეშე. ერიკ დუმაზეტის გამოსწორებამ ორი ჩვეულებრივი kfree ზარი kfree_rcu-ით ჩაანაცვლა 1 ოქტომბრით დათარიღებულ კომიტში; სტაბილური ბირთვები გამოსწორებით გამოვიდა 11 და 15 ოქტომბერს, და შეცდომა Linux 4.4-ს უბრუნდება. Red Hat-მა თავისი შეფასება მნიშვნელოვანიდან კრიტიკულამდე აამაღლა 30 ოქტომბერს. Ubuntu-სა და Red Hat Enterprise Linux-ს შაბათს საღამოს, 31 ოქტომბერს, არ ჰქონდათ გამოსწორებული ბირთვი. დააინსტალირეთ თქვენი დისტრიბუციის გამოსწორებული ბირთვი და გადატვირთეთ, მათ შორის კონტეინერების მასპინძლები, რადგან კონტეინერები იზიარებენ მასპინძლის ბირთვს.
• Anthropic ამბობს, რომ Claude-მ დაწერა მოქმედი ექსპლოიტი Linux სერვერებისთვის multipath TCP listener-ით, და რომ მის კონცეფციის მტკიცებულებაში 48 წუთი სჭირდება ბირთვის მაჩვენებლის გაჟონვას და კიდევ ხუთი წუთი shell ბრძანების გასაშვებად; ექსპლოიტი არ არის გამოქვეყნებული. Go Security Team აღნიშნავს, რომ Go პროგრამები ნაგულისხმევად ააქტიურებენ multipath TCP listener-ებს Go 1.24-დან და აფრთხილებს, რომ სისტემები ამ listener-ის გარეშე შესაძლოა დაუცველი იყოს მსგავსი შეტევების მიმართ. Red Hat და AlmaLinux აქვეყნებენ firewall-ის წესს, რომელიც ბლოკავს IPv4 TCP პაკეტებს IP ოფციებით, რაც Red Hat-ის თქმით ამცირებს დაუცველობას და სრულად არ უშლის ხელს ექსპლოიტაციას.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

ცივი გახსნა: როგორ ამბობს where პუნქტი, რომ ოთხი ხუთის ტოლია?

0:00 მონაცემთა ბაზა, რომელიც რეკლამირებს სრულ ACID-ს, ვალდებულია შეინახოს ის, რასაც თქვენ წერთ. Jepsen-მა შეამოწმა ერთი და იპოვა ოთხმოცდაექვსი პრობლემა, მათ შორის where პუნქტი, რომელიც ამბობდა, რომ ოთხი ხუთის ტოლია და მაინც აბრუნებდა რიგებს. ამ ვიდეოში, ოთხი ისტორია. რა აღმოაჩინა Jepsen-მა მონაცემთა ბაზაში, რომელიც სრულ ACID-ს აცხადებდა? რა იყო თითის ანაბეჭდის USB ჯოხის შიგნით, რომელიც დაშიფრული სახით გაიყიდა? რა ააშენა ანდრეი კარპატიმ ერთ დილას? და რას ასწორებთ Linux-ის ქსელის შეცდომისთვის?

0:26 ერთ-ერთი ასეთი შეცდომა წამზომთან ერთად მოდის. ბოლოს წაგიკითხავთ. კვირაა, პირველი ნოემბერი, და ეს არის The Daily Diff. Jepsen არის კაილ კინგსბერის ტესტირების ლაბორატორია. ის მონაცემთა ბაზას ატარებს რეალურ დატვირთვებსა და ხარვეზებში და ამოწმებს, თუ რამდენად სრულდება ვებსაიტზე არსებული გარანტიები. წარმოიდგინეთ ინსპექტორი, რომელიც რეალურად ხსნის მაცივარს.

ისტორია პირველი: რა იპოვა Jepsen-მა ParticleDB-ში?

0:44 ისტორია პირველი. შაბათს Jepsen-მა გამოაქვეყნა თავისი მოხსენება ParticleDB-ზე, Rust მონაცემთა ბაზა Orkes-დან, რომელიც მიზნად ისახავს AI აგენტებს. Orkes-მა დააფინანსა ეს ნამუშევარი. მთავარ გვერდზე ეწერა Full ACID, ას ორმოცდაცხრამეტი ათასი ტრანზაქცია წამში. Jepsen-მა შეამოწმა ParticleDB მისი პირველი 1.1 ვერსიიდან გვიანდელ გამოცემის კანდიდატამდე. საიტმა მას ფორმალურად დამტკიცებული უწოდა, TLA Plus მტკიცებულებით. Jepsen ამბობს, რომ TLA Plus სპეციფიკაცია სამუშაოს განმავლობაში არ იყო ხელმისაწვდომი.

1:10 Full ACID ხაზის ქვეშ, იმავე გვერდზე ეწერა snapshot isolation, რაც სრულად არ არის იზოლირებული. შეცდომები არ იყო დახვეწილი. უმეტესობას სჭირდებოდა ერთი სერვერი, ერთი კლიენტი და არანაირი ხარვეზი. where პუნქტმა, რომელიც ამბობდა, რომ ოთხი ხუთის ტოლია, დააბრუნა რიგები. where პუნქტმა, რომელიც ამბობდა true, არაფერს არ ემთხვეოდა. განახლებებმა ორი რიგი დატოვა ერთი და იგივე პირველადი გასაღებით. ბოლო გამოცემა, რომელიც Jepsen-მა შეამოწმა, გამოცემის კანდიდატი ოცდაორი,

1:36 გაცილებით უსაფრთხო იყო. მიუხედავად ამისა, ნაგულისხმევი ტრანზაქციის რეჟიმმა დაკარგა დაფიქსირებული ჩანაწერები ნორმალური მუშაობის დროს. უმკაცრესი რეჟიმი მაინც იძლეოდა დაკარგული განახლებების საშუალებას პროცესის მოკვლის შემდეგ. Orkes ამბობს, რომ მისი შემდეგი გამოცემა ამ ყველაფერს ასწორებს. Jepsen-მა ის არ შეამოწმა. ასე რომ, ბოლო გამოცემაში მონაცემთა ბაზას, რომელიც სრულ ACID-ს გვპირდებოდა, შეეძლო დაეკარგა ჩანაწერი, რომელიც უკვე დაფიქსირებული ჰქონდა. სიჩქარე, ვვარაუდობ, შესანიშნავი იყო.

2:00 Jepsen-ის რჩევა ნათელია. შეაჩერეთ ParticleDB-ის შემდგომი განლაგება და რაც შეიძლება მალე გადადით სხვა მონაცემთა ბაზაზე. Orkes გაზაფხულის რეფაქტორინგს აბრალებს და ამბობს, რომ მისი საკუთარი მომხმარებლები, ძველ ვერსიაზე, სავარაუდოდ არ დაზარალებულან. შენახული პროცედურის დოკუმენტებმა კაილ კინგსბერისთვის ელექტრონული ფოსტის მისამართიც კი გამოიგონეს. ისტორია მეორე. Lenovo ThinkPlus FU100 არის თითის ანაბეჭდის USB ჯოხი,

ისტორია მეორე: რა იყო Lenovo-ს თითის ანაბეჭდის USB ჯოხის შიგნით?

2:21 რომელიც რეკლამირებულია როგორც აპარატურულად დაშიფრული AES 256-ით. უსაფრთხოების მკვლევარმა Xusheng Li-მ ერთი დაშალა და ჩვეულებრივი SD ბარათი იპოვა, მასზე არაფერი იყო დაშიფრული. თითის ანაბეჭდის წამკითხველმა ერთი რამ გადაწყვიტა, დაკავშირდებოდა თუ არა ჯოხი კომპიუტერთან. ბარათზე არსებული ფაილები არასოდეს იყო მასზე დამოკიდებული. Li-მ ნაკლი Lenovo-ს 2025 წლის აგვისტოში შეატყობინა. პირველი გამოსწორება იყო ეპოქსიდური ფენა SD ბარათზე. ასე რომ, ფაილები არასოდეს ყოფილა დაშიფრული.

2:47 მოიცადე, ეს უბრალოდ SD ბარათია? ყოველთვის ასე იყო. Lenovo-მ თავისი რჩევა მაღალ რანგში შეაფასა. მოგვიანებით გამოსწორება, FU100-ისა და სამი დაკავშირებული დისკისთვის, ნიშნავს ჩინეთში სერვისის ხაზზე დარეკვას, შემდეგ დისკის უკან გაგზავნას ან ადგილზე firmware-ის განახლებას. Lenovo გვირჩევს ჯერ დისკის გასუფთავებას. გასულ კვირას Li-მ OpenAI-ს Codex-ი, პლუს თავისი დამსაქმებლის უკუ ინჟინერიის

3:09 ხელსაწყო, მიმართა სხვა მწარმოებლების USB დაცვის პროგრამული უზრუნველყოფისკენ. Netac-ისას დაახლოებით შვიდი წუთი დასჭირდა, რადგან მასში ჩაშენებული იყო ფიქსირებული გასაღები და პაროლი ჩაწერა დიაგნოსტიკურ ჟურნალებში. ერთ დისკს ჰქონდა ორი ფარული ანგარიში, რომლებსაც Li უკანა კარებს უწოდებს. თუ დისკის უსაფრთხოება არის აპარატურა, თავად შეამოწმეთ. დაშიფრეთ ფაილები პროგრამული უზრუნველყოფით, რომელსაც თქვენ აკონტროლებთ, სანამ ისინი ჯოხს მიაღწევენ, და მოეპყარით თითის ანაბეჭდს, როგორც მოხერხებულობას.

ისტორია მესამე: რა ააშენა კარპატიმ ერთ დილას?

3:31 ისტორია მესამე, მსუბუქი. პარასკევს ღამით ანდრეი კარპატიმ YouTube გახსნა, დაინახა ის, რასაც მან უწოდა „ენშიტირებული სლოპის კედელი“, და შაბათს დილით თავის კოდირების აგენტს უთხრა, აეშენებინა ჩანაცვლება იმით, რასაც Hacker News გვირჩევს. აგენტმა ჩამოტვირთა Hacker News-ის კომენტარები, გაფილტრა სპამი, და შეინახა დაახლოებით ორმოცი ათასი, რომლებიც YouTube ვიდეოს რეკომენდაციას უწევდნენ. დარჩა ექვსი ათას ოთხას ორმოცდაოთხი ვიდეო, ორი ათას შვიდი წლიდან დღემდე, ას ორმოცდაათ თემაში.

3:58 საიტი არის hackertube dot org. ის აჩვენებს კადრს შუა წერტილიდან ატვირთული ესკიზის ნაცვლად, რაც ცოტა მწარეა. კარპატი ამბობს, რომ მთელ აშენებას დაახლოებით ორი საათი დასჭირდა. მისი ერთადერთი ხელით შესრულებული ნაბიჯები იყო Google API გასაღები, სერვერი და დომენი. თორმეტ ოქტომბერს გითხარით, რომ კარპატი ფიქრობს, რომ წვდომა და ამოცანები ქმნის ხარვეზს იმაში, თუ როგორ ესმით ადამიანებს ეს ხელსაწყოები. ორი საათის მუშაობა ღირსეული მონაცემთა წერტილია.

4:21 ისტორია მეოთხე, რომელზეც უნდა იმოქმედო.

ისტორია მეოთხე: რა უნდა დააპატჩოთ CVE-2026-98432-ისთვის?

4:23 CVE 2026, 98432 არის use-after-free Linux ბირთვის IPv4 TCP handshake-ში, ათიდან ცხრა წერტილი რვა ქულით. დისტანციურ თანამოსაუბრეს შესვლის გარეშე შეუძლია მასთან წვდომა. დისტანციურ თანამოსაუბრეს შესვლის გარეშე შეუძლია მასთან წვდომა. ერიკ დუმაზეტმა გამოსწორება პირველ ოქტომბერს დაწერა. გამოსწორება სტაბილურ ბირთვებს მიაღწია თერთმეტ და თხუთმეტ ოქტომბერს, და შეცდომა Linux 4.4-ს უბრუნდება. Red Hat-მა თავისი შეფასება მნიშვნელოვანიდან კრიტიკულამდე აამაღლა ოცდაათ ოქტომბერს. შაბათს საღამოს, Ubuntu-სა და Red Hat Enterprise Linux-ს ჯერ კიდევ არ ჰქონდათ

4:52 გამოსწორებული ბირთვი. Anthropic ამბობს, რომ Claude-მ დაწერა მოქმედი ექსპლოიტი სერვერებისთვის multipath TCP listener-ით, და Go პროგრამებმა ისინი ნაგულისხმევად გახსნეს Go 1.24-დან. Go გუნდი აფრთხილებს, რომ სისტემები ამ listener-ის გარეშე შესაძლოა დაუცველი იყოს მსგავსი შეტევების მიმართ, და ამბობს, რომ საუკეთესო გამოსწორება არის პატჩირებული ბირთვი. თუ თქვენს დისტრიბუციას ჯერ არ აქვს გამოსწორებული ბირთვი, Red Hat და AlmaLinux აქვეყნებენ firewall-ის წესს, რომელიც ბლოკავს IPv4 TCP პაკეტებს IP ოფციებით. Red Hat ამბობს, რომ ეს ამცირებს დაუცველობას და სრულად ვერ უშლის ხელს მას.

5:23 ამის შემდეგ, ელოდებით. რა უნდა გააკეთოთ დღეს. დააინსტალირეთ თქვენი დისტრიბუციის გამოსწორებული ბირთვი და გადატვირთეთ, კონტეინერის მასპინძლებზე და Kubernetes-ის კვანძებზეც, რადგან კონტეინერები იზიარებენ მასპინძლის ბირთვს. Debian-ს, Suse-სა და Amazon Linux-ს უკვე აქვთ გამოსწორებები. თუ ჯერ არ შეგიძლიათ პატჩის დაყენება, დაიწყეთ მასპინძლებით, რომლებიც მუშაობენ multipath TCP listeners-ზე. ახლა კი დაპირებული წამზომი.

დავუბრუნდეთ წამზომს: რამდენ ხანს დასჭირდა ექსპლოიტს?

5:44 Anthropic-ის საკუთარ კონცეფციის მტკიცებულებაში, ორმოცდარვა წუთი სჭირდება ბირთვის მაჩვენებლის გაჟონვას, შემდეგ კიდევ ხუთი წუთი shell ბრძანების გასაშვებად. Anthropic-ს ექსპლოიტი არ გამოუქვეყნებია. თუ ამას კითხვით ამჯობინებთ მოსმენას, „დიფი“ თქვენს შემოსულებში ხვდება ყოველ დილით, უფასოდ dailydiff.dev-ზე, ლინკი ქვემოთ.

ვერდიქტი: REVERT

6:02 ასე რომ, დღევანდელი ვერდიქტი არის REVERT. მე დავაბრუნებდი ParticleDB-ს, რადგან Jepsen-ის რჩევაა განლაგების შეჩერება, და მე დავაპატჩებდი ამ ბირთვს, რადგან ის წამზომთან ერთად მოდის. და ეს არის დღევანდელი „დიფი“. მე ვარ ნიკო Axrisi-დან. შეერწყით პასუხისმგებლობით.

წყაროები

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas