ParticleDB Jepsen есебі, Lenovo саусақ ізі USB таяқшасы, Карпатидің HackerTube және Linux TCP қатесі CVE-2026-98432: бір Daily Diff-тегі төрт әзірлеуші оқиғасы

Бұл бейне не туралы

• Кайл Кингсбери басқаратын дерекқорды тестілеу зертханасы Jepsen ParticleDB дерекқорын талдауын 2026 жылдың 31 қазанында жариялады. ParticleDB — Orkes-тің AI агенттеріне арналған Rust дерекқоры; Orkes жұмысты қаржыландырды. Jepsen 1.1.4 нұсқасынан 1.1.18.11.rc-22 нұсқасына дейін бір түйінде сынақтан өткізді және 96 мәселені ұсынады, олардың көпшілігіне бір сервер, бір клиент және қателерсіз қажет болды. Есептегі мысалдар: WHERE 4 = 5 тармағы бастапқы кілті 5 болатын жолдарды қайтарды, WHERE TRUE ештеңеге сәйкес келмеді, ал UPDATE бірнеше жолды бірдей бастапқы кілтпен қалдыруы мүмкін.
• ParticleDB басты бетінде 'Толық ACID. 159K TPS.' және TLA+ дәлелі жарнамаланды, бірақ Jepsen ынтымақтастық кезінде TLA+ спецификациясы болмағанын және 'Толық ACID' астындағы мәтіндеsnapshot isolation айтылғанын айтады. Jepsen сынаған соңғы нұсқасы 1.1.18.11.rc-22-де, әдепкі occ транзакция режимі қалыпты жұмыс кезінде орындалған жазбаларды жоғалтты, ал қатаң serializable режимі процесс тоқтатылғаннан кейін Lost Update-ке рұқсат берді. Orkes 1.1.19-rc.13 нұсқасы барлық қалған мәселелерді шешеді дейді; Jepsen оны бағалаған жоқ және пайдаланушыларға ParticleDB-ді әрі қарай орналастыруды тоқтатып, басқа дерекқорларға көшуді ұсынады.
• Қауіпсіздік зерттеушісі Сюшенг Ли AES-256 аппараттық шифрланған деп сатылған Lenovo ThinkPlus FU100 саусақ ізі USB таяқшасының ішінде деректері шифрланбаған кәдімгі SD картасы бар екенін анықтады; саусақ ізі оқу құрылғысы тек USB қосылымын қосты. Ол бұл туралы 2025 жылдың 2 тамызында хабарлады, ал Lenovo-ның алғашқы түзетуі SD картасының үстіне эпоксидті қабат болды. Lenovo өз ескертуін жоғары деп бағалады, ал FU100 және байланысты дискілерге арналған кейінгі түзету, Tom's Hardware хабарлағандай, Қытайдағы қызмет көрсету желісіне қоңырау шалуды, содан кейін ауыстыруды немесе жергілікті микробағдарламаны жаңартуды талап етеді.
• Tom's Hardware хабарлағандай, Ли басқа өндірушілердің USB қорғау бағдарламалық жасақтамасына қарсы OpenAI Codex-ін, сондай-ақ жұмыс берушісінің кері инженерия құралын қолданды; Netac-тың ішінде бекітілген кілт болғандықтан және құпия сөзді диагностикалық журналдарға жазғандықтан шамамен жеті минут уақыт кетті, ал басқа жеткізушінің дискісінде Ли "артқы есіктер" деп атайтын екі жасырын есептік жазба болды. USB таяқшасындағы деректер үшін, олар құрылғыға жетпес бұрын, өзіңіз басқаратын бағдарламалық жасақтамамен файлдарды шифрлаңыз.
• 2026 жылдың 31 қазанында Андрей Карпати HackerTube, hackertube.org сайтындағы YouTube стиліндегі сайтты, шамамен екі сағат ішінде өзінің кодтау агентімен салынғанын сипаттады. Агент Hacker News түсініктемелерін жүктеп алып, спамды сүзіп, YouTube бейнесін ұсынатын шамамен 40,000 түсініктемені сақтап қалды, нәтижесінде 2007-2026 жылдар аралығындағы 150 тақырып бойынша 6,454 бейне шықты. Сайт жүктелген нобайдың орнына 50 пайыздық белгідегі кадрды көрсетеді. Карпати өзінің қолмен жасаған қадамдарын Google Cloud API кілті, сервер және домен ретінде тізімдейді.
• CVE-2026-98432 - Linux ядросының IPv4 TCP қол алысуындағы use-after-free қатесі, CVSS 9.8 баллмен бағаланған, қашықтағы қатысушыға логинсіз қол жетімді. Эрик Думазеттің түзетуі 1 қазанда жасалған commit-те екі жай kfree шақыруын kfree_rcu-мен ауыстырды; түзетуі бар тұрақты ядролар 11 және 15 қазанда шығарылды, ал қате Linux 4.4-ке дейін барады. Red Hat 30 қазанда өзінің рейтингін Маңыздыдан Критикалыққа көтерді. Ubuntu және Red Hat Enterprise Linux 31 қазан, сенбі кешінде әлі түзетілген ядроны тізімдемеді. Дистрибутивіңіздің түзетілген ядросын орнатып, контейнер хосттарын қоса, қайта жүктеңіз, өйткені контейнерлер хост ядросын бөліседі.
• Anthropic Claude-тің көп жолды TCP тыңдаушысы бар Linux серверлері үшін жұмыс істейтін эксплойт жазғанын және оның тұжырымдамалық дәлелінде ядролық көрсеткішті ағызуға 48 минут, содан кейін қабықша командасын іске қосуға тағы бес минут кететінін айтады; эксплойт жарияланған жоқ. Go Security Team Go бағдарламалары Go 1.24 нұсқасынан бастап көп жолды TCP тыңдаушыларын әдепкі бойынша іске қосатынын атап өтеді және бұл тыңдаушысы жоқ жүйелер ұқсас шабуылдарға осал болуы мүмкін екенін ескертеді. Red Hat және AlmaLinux IP опциялары бар IPv4 TCP пакеттерін тастайтын брандмауэр ережесін жариялайды, Red Hat бұл әсерді азайтады, бірақ эксплойтты толығымен болдырмайды дейді.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

Салқын бастау: қай жерде төрт бес дегенді қалай айтады?

0:00 Толық ACID жарнамалайтын дерекқор сіз жазғанды сақтауы керек. Jepsen біреуін сынап, тоқсан алты мәселені тапты, соның ішінде төрт бес дегенді айтатын және әлі де жолдарды қайтаратын where тармағы. Бұл видеода төрт оқиға. Jepsen Толық ACID деп мәлімдеген дерекқордан не тапты? Шифрланған деп сатылған саусақ ізі USB таяқшасының ішінде не болды? Андрей Карпати бір таңда не құрастырды? Және Linux желілік қатесі үшін нені патчтайсыз?

0:26 Бұл қателердің бірі секундомермен бірге келеді. Мен оны сізге соңында оқып беремін. Бүгін жексенбі, бірінші қараша, бұл The Daily Diff. Jepsen - Кайл Кингсберидің тестілеу зертханасы. Ол дерекқорды нақты жұмыс жүктемелері мен ақаулар арқылы өткізіп, веб-сайттағы кепілдіктердің сақталғанын тексереді. Тоңазытқышты шынымен ашатын инспекторды елестетіңіз.

Бірінші оқиға: Jepsen ParticleDB-ден не тапты?

0:44 Бірінші оқиға. Сенбіде Jepsen ParticleDB туралы есебін жариялады, AI агенттеріне арналған Orkes-тің Rust дерекқоры. Orkes жұмысты төледі. Басты бетте Толық ACID, бір жүз елу тоғыз мың транзакция секундына деп жазылды. Jepsen ParticleDB-ді өзінің алғашқы 1.1 құрылысынан соңғы шығарылымға дейін сынады. Сайт оны ресми түрде дәлелденген деп атады, TLA плюс дәлелімен. Jepsen жұмыс барысында TLA плюс спецификациясы болмағанын айтады.

1:10 Толық ACID жолының астында, сол бетте snapshot isolation деп жазылған, бұл толық оқшауланбаған. Қателер айқын болды. Көпшілігіне бір сервер, бір клиент және ешқандай ақаулар қажет болмады. Төрт бес дегенді айтатын where тармағы жолдарды қайтарды. Шынайы дегенді айтатын where тармағы ештеңеге сәйкес келмеді. Жаңартулар екі жолды бірдей бастапқы кілтпен қалдырды. Jepsen сынаған соңғы шығарылым, жиырма екінші шығарылым кандидаты,

1:36 әлдеқайда қауіпсіз болды. Соған қарамастан, әдепкі транзакция режимі қалыпты жұмыс кезінде орындалған жазбаларды жоғалтты. Ең қатаң режим процесс тоқтатылғаннан кейін де жоғалған жаңартуларға рұқсат берді. Orkes келесі шығарылымы мұның бәрін түзетеді дейді. Jepsen оны сынаған жоқ. Сонымен, сол соңғы шығарылымда Толық ACID уәде еткен дерекқор өзі бұрын жасаған жазуды жоғалтуы мүмкін. Жылдамдығы, менің ойымша, тамаша болды.

2:00 Jepsen-нің кеңесі анық. ParticleDB-ді әрі қарай орналастыруды тоқтатып, мүмкіндігінше тезірек басқа дерекқорға көшіңіз. Orkes көктемгі қайта құрылымдауды кінәлайды және өзінің ескі нұсқадағы клиенттеріне әсер етпеген болуы мүмкін дейді. Сақталған процедуралар құжаттары тіпті Кайл Кингсбери үшін электрондық пошта мекенжайын ойлап тапқан. Екінші оқиға. Lenovo ThinkPlus FU100 - бұл саусақ ізі USB таяқшасы,

Екінші оқиға: Lenovo саусақ ізі USB таяқшасының ішінде не болды?

2:21 AES-256 аппараттық шифрланған деп жарнамаланған. Қауіпсіздік зерттеушісі Сюшенг Ли оны бөлшектеп, кәдімгі SD картасын тапты, онда ештеңе шифрланбаған. Саусақ ізі оқу құрылғысы бір нәрсені шешті, таяқша компьютерге қосылған- қосылмағанын. Картадағы файлдар оған ешқашан байланысты болмады. Ли кемшілікті Lenovo-ға 2025 жылдың тамызында хабарлады. Алғашқы түзету SD картасының үстіне эпоксидті қабат болды. Сонымен, файлдар ешқашан шифрланбаған.

2:47 Күте тұрыңыз, бұл жай ғана SD картасы ма? Әрдайым солай болған. Lenovo өз ескертуін жоғары деп бағалады. FU100 және үш байланысты дискіге арналған кейінгі түзету, Қытайдағы қызмет көрсету желісіне қоңырау шалуды, содан кейін дискіні қайтаруды немесе жергілікті микробағдарламаны жаңартуды білдіреді. Lenovo алдымен дискіні тазалауды ұсынады. Өткен аптада Ли OpenAI Codex-ін, сондай-ақ жұмыс берушісінің кері инженерия

3:09 құралын, басқа өндірушілердің USB қорғау бағдарламалық жасақтамасына бағыттады. Netac-тың шамамен жеті минут уақыт кетті, өйткені оның ішінде бекітілген кілт болды және құпия сөзді диагностикалық журналдарға жазды. Бір дискіде Ли "артқы есіктер" деп атайтын екі жасырын есептік жазба болды. Егер дискінің қауіпсіздігі аппараттық болса, оны өзіңіз тексеріңіз. Файлдарды таяқшаға жетпес бұрын өзіңіз басқаратын бағдарламалық жасақтамамен шифрлаңыз, және саусақ ізін ыңғайлылық ретінде қарастырыңыз.

Үшінші оқиға: Карпати бір таңда не құрастырды?

3:31 Үшінші оқиға, жеңіл. Жұма күні кешкісін Андрей Карпати YouTube-ті ашты, өзі "ылаңдаған қабырға" деп атаған нәрсені көрді, ал сенбі күні таңертең өзінің кодтау агентіне Hacker News ұсынған кез келген нәрседен алмастырушы құрастыруды бұйырды. Агент Hacker News түсініктемелерін жүктеп алып, спамды сүзіп, және YouTube бейнесін ұсынатын шамамен қырық мыңын сақтап қалды. Бұл алты мың төрт жүз елу төрт бейне қалдырды, екі мың жетіншіден қазіргі уақытқа дейін, жүз елу тақырып бойынша.

3:58 Сайт hackertube dot org. Ол жүктеуші таңдаған нобайдың орнына ортасынан кадрды көрсетеді, бұл біраз ашуландырады. Карпати бүкіл құрылысқа шамамен екі сағат кеткенін айтады. Оның жалғыз қолмен жасаған қадамдары Google API кілті, сервер және домен болды. Он екінші қазанда мен сізге Карпатидің қолжетімділік пен тапсырмалардың адамдардың бұл құралдарды қалай түсінетінінде алшақтық тудырады деп ойлайтынын айттым. Екі сағаттық жұмыс - жақсы деректер нүктесі.

4:21 Төртінші оқиға, әрекет ету керек.

Төртінші оқиға: CVE-2026-98432 үшін нені патчтайсыз?

4:23 CVE жиырма жиырма алты, тоқсан сегіз төрт жүз отыз екі - бұл Linux ядросының IPv4 TCP қол алысуындағы use-after-free, оннан тоғыз нүкте сегіз баллмен бағаланған. Логинсіз қашықтағы қатысушы оған қол жеткізе алады. Эрик Думазет түзетуді бірінші қазанда жазды. Түзету тұрақты ядроларға он бірінші және он бесінші қазанда жетті, және қате Linux төрт нүкте төртке дейін барады. Red Hat өзінің рейтингін маңыздыдан критикалыққа отызыншы қазанда көтерді. Сенбі күні кешкісін Ubuntu және Red Hat Enterprise Linux әлі де түзетілген

4:52 ядроны тізімдемеді. Anthropic Claude көп жолды TCP тыңдаушысы бар серверлер үшін жұмыс істейтін эксплойт жазғанын және Go бағдарламалары оларды Go 1.24 нұсқасынан бастап әдепкі бойынша ашқанын айтады. Go командасы бұл тыңдаушысы жоқ жүйелер ұқсас шабуылдарға осал болуы мүмкін екенін ескертеді және ең жақсы түзету патчталған ядро дейді. Егер сіздің дистрибутивіңізде әлі түзетілген ядро болмаса, Red Hat және AlmaLinux IP опциялары бар IPv4 TCP пакеттерін тастайтын брандмауэр ережесін жариялайды. Red Hat бұл әсерді азайтады, бірақ оны толығымен болдырмайды дейді.

5:23 Одан кейін күтесіз. Бүгін не істеу керек. Дистрибутивіңіздің түзетілген ядросын орнатып, қайта жүктеңіз, контейнер хосттары мен Kubernetes түйіндерінде де, өйткені контейнерлер хост ядросын бөліседі. Debian, Suse және Amazon Linux-те қазірдің өзінде түзетулер бар. Егер сіз әлі патчтай алмасаңыз, көп жолды TCP тыңдаушыларын іске қосатын хосттардан бастаңыз. Енді мен уәде еткен секундомер.

Секундомерге оралу: эксплойт қанша уақыт алды?

5:44 Anthropic-тің өзінің тұжырымдамалық дәлелінде, ядролық көрсеткішті ағызуға қырық сегіз минут, содан кейін қабықша командасын іске қосуға тағы бес минут кетеді. Anthropic эксплойтты жариялаған жоқ. Егер сіз мұны естуден гөрі оқығыңыз келсе, diff сіздің кіріс жәшігіңізге күн сайын таңертең тегін the daily diff dot dev мекенжайына келеді, сілтеме төменде.

Үкім: REVERT

6:02 Сонымен, бүгінгі үкім - REVERT. Мен ParticleDB-ді қайтарар едім, өйткені Jepsen-нің кеңесі орналастыруды тоқтату, және мен сол ядроны патчар едім, өйткені ол секундомермен бірге келеді. Және бүгінгі айырмашылық осы. Мен Axrisi-ден Никомын. Жауапкершілікпен біріктіріңіз.

Дереккөздер

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas