ParticleDB Jepsen ataskaita, „Lenovo“ pirštų atspaudų USB atmintinė, Karpathy „HackerTube“ ir „Linux TCP“ klaida CVE-2026-98432: keturios kūrėjų istorijos viename „Daily Diff“

Kas aptariama šiame vaizdo įraše

• „Jepsen“, duomenų bazių testavimo laboratorija, vadovaujama Kyle Kingsbury, 2026 m. spalio 31 d. paskelbė savo „ParticleDB“ analizę. „ParticleDB“ yra „Rust“ duomenų bazė iš „Orkes“, skirta dirbtinio intelekto agentams; „Orkes“ finansavo šį darbą. „Jepsen“ testavo 1.1.4 – 1.1.18.11.rc-22 versijas viename mazge ir pateikia 96 problemas, kurių daugumai reikėjo vieno serverio, vieno kliento ir jokių gedimų. Pavyzdžiai ataskaitoje: WHERE 4 = 5 sąlyga grąžino eilutes su pirminiu raktu 5, WHERE TRUE nieko neatitiko, o UPDATE galėjo palikti kelias eilutes su tuo pačiu pirminiu raktu.
• „ParticleDB“ pagrindiniame puslapyje buvo reklamuojama „Visiškas ACID. 159K TPS.“ ir TLA+ įrodymas, tačiau „Jepsen“ teigia, kad bendradarbiavimo metu TLA+ specifikacijos nebuvo, o tekstas po „Visas ACID“ nurodė momentinės izoliacijos. 1.1.18.11.rc-22, paskutinėje „Jepsen“ testuotoje versijoje, numatytasis occ operacijų režimas vis dar prarasdavo įrašus normalios veiklos metu, o griežčiausias serializuojamas režimas leido „prarastus atnaujinimus“ po procesų nutraukimo. „Orkes“ teigia, kad 1.1.19-rc.13 versija išsprendžia visas likusias problemas; „Jepsen“ jos neįvertino ir rekomenduoja vartotojams sustabdyti tolesnį „ParticleDB“ diegimą ir migruoti į kitas duomenų bazes.
• Saugumo tyrėjas Xusheng Li nustatė, kad „Lenovo ThinkPlus FU100“ pirštų atspaudų USB atmintinė, reklamuojama kaip aparatine įranga užšifruota AES-256, turėjo paprastą SD kortelę, kurios duomenys nebuvo užšifruoti; pirštų atspaudų skaitytuvas tik įjungė USB jungtį. Apie tai jis pranešė 2025 m. rugpjūčio 2 d., o pirmasis „Lenovo“ pataisymas buvo epoksidinės dervos sluoksnis ant SD kortelės. „Lenovo“ savo patarimą įvertino aukštu balu, o vėlesnis FU100 ir susijusių diskų pataisymas reikalauja skambinti į Kinijos aptarnavimo liniją, tada pakeisti arba atnaujinti programinę-aparatinę įrangą vietoje, rašoma „Tom's Hardware“.
• Kaip pranešė „Tom's Hardware“, vėlesniame tyrime Li naudojo „OpenAI“ „Codex“ su savo darbdavio atvirkštinės inžinerijos įrankiu prieš kitų gamintojų USB apsaugos programinę įrangą; „Netac“ užtruko apie septynias minutes, nes ji turėjo įmontuotą fiksuotą raktą ir rašė slaptažodį į diagnostikos žurnalus, o kito pardavėjo diske buvo dvi paslėptos paskyros, kurias Li vadina „užpakalinėmis durimis“. Duomenims, esantiems USB atmintinėje, šifruokite failus su valdoma programine įranga, kol jie pasieks įrenginį.
• 2026 m. spalio 31 d. Andrej Karpathy aprašė „HackerTube“, „YouTube“ stiliaus svetainę hackertube.org, sukurtą su jo kodavimo agentu maždaug per dvi valandas. Agentas atsisiuntė „Hacker News“ komentarus, filtruodavo šlamštą ir išsaugojo apie 40 000, kurie rekomendavo „YouTube“ vaizdo įrašą, duodamas 6454 vaizdo įrašus nuo 2007 iki 2026 metų 150 temų. Svetainė rodo kadrą ties 50 procentų žyma, o ne įkeltą miniatiūrą. Karpathy nurodo savo rankinius veiksmus kaip „Google Cloud“ API raktą, serverį ir domeną.
• CVE-2026-98432 yra „use-after-free“ „Linux“ branduolio IPv4 TCP ryšio nustatymo metu, įvertinta CVSS 9.8, pasiekiama nuotoliniu partneriu be prisijungimo. Eric Dumazet pataisymas pakeitė du paprastus kfree iškvietimus į kfree_rcu, įsipareigojant spalio 1 d.; stabilūs branduoliai su pataisymu buvo išleisti spalio 11 ir 15 d., o klaida atsirado „Linux 4.4“ versijoje. „Red Hat“ spalio 30 d. padidino savo įvertinimą nuo „Svarbu“ iki „Kritiškas“. „Ubuntu“ ir „Red Hat Enterprise Linux“ šeštadienio vakarą, spalio 31 d., nenurodė pataisyto branduolio. Įdiekite savo distribucijos pataisytą branduolį ir perkraukite, įskaitant konteinerių hostus, nes konteineriai dalijasi hosto branduoliu.
• „Anthropic“ teigia, kad Claude parašė veikiančią spragą „Linux“ serveriams su daugiatakio TCP klausymosi funkcija ir kad jų patvirtinimo koncepcijoje prireikia 48 minučių, kad nutekėtų branduolio rodyklė, ir dar penkių minučių, kad būtų įvykdyta apvalkalo komanda; spraga nėra paskelbta. „Go Security Team“ pažymi, kad „Go“ programos nuo „Go 1.24“ versijos pagal numatytuosius nustatymus įgalina daugiatakio TCP klausymosi funkcijas ir perspėja, kad sistemos be šios klausymosi funkcijos gali būti pažeidžiamos panašių atakų. „Red Hat“ ir „AlmaLinux“ skelbia ugniasienės taisyklę, kuri atmeta IPv4 TCP paketus su IP parinktimis, o „Red Hat“ teigia, kad tai sumažina pažeidžiamumą, bet visiškai neužkerta kelio išnaudojimui.

Išverstas transkriptas

Išversta iš originalo anglų kalbos. Galimas garso ir subtitrų valdymas per YouTube.

Šalta pradžia: kaip „where“ sąlyga sako keturi lygu penki?

0:00 Duomenų bazė, kuri skelbiasi esanti „Full ACID“, turėtų išsaugoti tai, ką įrašote. Jepsen išbandė vieną ir rado devyniasdešimt šešias problemas, įskaitant „where“ sąlygą, kuri sakė keturi lygu penki ir vis tiek grąžino eilutes. Šiame vaizdo įraše – keturios istorijos. Ką Jepsen rado duomenų bazėje, kuri teigė turinti „Full ACID“? Kas buvo pirštų atspaudų USB atmintinėje, parduodamoje kaip užšifruota? Ką Andrej Karpathy sukūrė per vieną rytą? Ir ką reikia pataisyti dėl „Linux“ tinklo klaidos?

0:26 Viena iš tų klaidų ateina su chronometru. Aš jums tai perskaitysiu pabaigoje. Šiandien sekmadienis, lapkričio pirmoji, ir tai yra „The Daily Diff“. Jepsen yra Kyle Kingsbury testavimo laboratorija. Ji paleidžia duomenų bazę per realias darbo apkrovas ir gedimus ir patikrina, ar interneto svetainėje pateiktos garantijos galioja. Pagalvokite apie inspektorių, kuris iš tikrųjų atidaro šaldytuvą.

Pirma istorija: ką Jepsen rado ParticleDB?

0:44 Pirma istorija. Šeštadienį Jepsen paskelbė savo ataskaitą apie „ParticleDB“, „Rust“ duomenų bazę iš Orkes, skirtą dirbtinio intelekto agentams. Orkes apmokėjo už darbą. Pradžios puslapyje buvo parašyta „Full ACID“, šimtas penkiasdešimt devyni tūkstančiai operacijų per sekundę. Jepsen testavo „ParticleDB“ nuo pat pirmojo 1.1 kūrimo iki vėlesnės išleidimo kandidato. Svetainė tai pavadino formaliai patvirtinta, su TLA plius įrodymu. Jepsen teigia, kad TLA plius specifikacijos nebuvo prieinamos dirbant.

1:10 Po „Full ACID“ eilute, tame pačiame puslapyje buvo nurodyta momentinė izoliacija, kuri nėra visiškai izoliuota. Klaidos nebuvo subtilios. Daugumai reikėjo vieno serverio, vieno kliento ir jokių įterptų gedimų. „where“ sąlyga, kuri teigė keturi lygu penki, grąžino eilutes. „where“ sąlyga, kuri teigė tiesa, nieko neatitiko. Atnaujinimai paliko dvi eilutes su tuo pačiu pirminiu raktu. Paskutinė Jepsen testuota versija, išleidimo kandidatas dvidešimt du,

1:36 buvo daug saugesnė. Nepaisant to, numatytasis operacijų režimas prarasdavo įrašus normalios veiklos metu. Griežčiausias režimas vis tiek leido prarasti atnaujinimus po proceso nutraukimo. Orkes teigia, kad kitas jos leidimas ištaisys visa tai. Jepsen jo nebandė. Taigi, tame paskutiniame leidime duomenų bazė, kuri žadėjo „Full ACID“, galėjo prarasti įrašą, kurį jau buvo patvirtinusi. Greitis, manau, buvo puikus.

2:00 Jepsen patarimas yra aiškus. Kuo greičiau sustabdyti tolesnį „ParticleDB“ diegimą ir migruoti į kitą duomenų bazę. „Orkes“ kaltina pavasario pertvarkymą ir teigia, kad jos pačios klientai, naudojantys senesnę versiją, tikriausiai nebuvo paveikti. Saugotų procedūrų dokumentacija netgi išrado elektroninio pašto adresą Kyle Kingsbury. Antra istorija. „Lenovo ThinkPlus FU100“ yra pirštų atspaudų USB atmintinė,

Antra istorija: kas buvo „Lenovo“ pirštų atspaudų USB atmintinėje?

2:21 reklamuojama kaip aparatinė įranga užšifruota su AES dviejų šimtų penkiasdešimt šešių bitų šifravimu. Saugumo tyrėjas Xusheng Li išardė vieną ir rado paprastą SD kortelę, kurioje niekas nebuvo užšifruota. Pirštų atspaudų skaitytuvas nusprendė tik vieną dalyką – ar atmintinė prisijungė prie kompiuterio. Failai kortelėje nuo to niekada nepriklausė. Li pranešė apie šį trūkumą „Lenovo“ 2025 m. rugpjūtį. Pirmasis pataisymas buvo epoksidinės dervos sluoksnis ant SD kortelės. Taigi failai niekada nebuvo užšifruoti.

2:47 Palaukite, tai tiesiog SD kortelė? Visada taip buvo. „Lenovo“ savo patarimą įvertino aukštu balu. Vėlesnis pataisymas, skirtas FU100 ir trims susijusiems diskams, reiškia skambinimą į Kinijos aptarnavimo liniją, tada arba disko siuntimą atgal, arba programinės įrangos atnaujinimą vietoje. „Lenovo“ pataria pirmiausia išvalyti diską. Praėjusią savaitę Li nukreipė „OpenAI“ „Codex“, plius savo darbdavio atvirkštinės inžinerijos

3:09 įrankį, į kitų gamintojų USB apsaugos programinę įrangą. „Netac“ užtruko apie septynias minutes, nes ji turėjo įmontuotą fiksuotą raktą ir rašė slaptažodį į diagnostikos žurnalus. Viename diske buvo dvi paslėptos paskyros, kurias Li vadina „užpakalinėmis durimis“. Jei disko saugumas yra aparatinė įranga, patikrinkite patys. Užšifruokite failus su valdoma programine įranga, kol jie pasieks atmintinę, ir pirštų atspaudą traktuokite kaip patogumą.

Trečia istorija: ką Karpathy sukūrė per vieną rytą?

3:31 Trečia istorija, lengvesnė. Penktadienio vakarą Andrej Karpathy atidarė „YouTube“, pamatė, ką pavadino „užteršta purvo siena“, ir šeštadienio rytą liepė savo kodavimo agentui sukurti pakaitalą iš to, ką rekomenduoja „Hacker News“. Agentas atsisiuntė „Hacker News“ komentarus, išfiltruodavo šlamštą, ir išsaugojo apie keturiasdešimt tūkstančių, kurie rekomenduoja „YouTube“ vaizdo įrašą. Liko šeši tūkstančiai keturi šimtai penkiasdešimt keturi vaizdo įrašai, nuo du tūkstančiai septintųjų iki dabar, šimtas penkiasdešimt temų.

3:58 Svetainė yra hackertube dot org. Ji rodo kadrą nuo pusės žymos, o ne įkėlėjo pasirinktą miniatiūrą, o tai šiek tiek gniaužia širdį. Karpathy sako, kad visas kūrimas užtruko apie dvi valandas. Vieninteliai jo rankiniai žingsniai buvo „Google“ API raktas, serveris ir domenas. Spalio dvyliktąją aš jums pasakiau, kad Karpathy mano, jog prieiga ir užduotys sukuria atotrūkį tame, kaip žmonės supranta šiuos įrankius. Dvi valandos darbo yra geras duomenų taškas.

4:21 Ketvirta istorija, ta, į kurią reikia reaguoti.

Ketvirta istorija: ką reikia pataisyti dėl CVE-2026-98432?

4:23 CVE dvidešimt dvidešimt šeši, devyniasdešimt aštuoni keturi šimtai trisdešimt du yra „use-after-free“ „Linux“ branduolio I P v keturi TCP ryšio nustatymo metu, įvertinta devyniais taškais aštuoni iš dešimties. Ją gali pasiekti nuotolinis partneris be prisijungimo. Eric Dumazet pataisymą parašė spalio pirmąją. Pataisymas pasiekė stabilius branduolius spalio vienuoliktąją ir penkioliktąją, o klaida egzistuoja nuo „Linux“ keturi taškai keturi versijos. „Red Hat“ spalio trisdešimtąją padidino savo reitingą nuo svarbaus iki kritinio. Šeštadienio vakarą „Ubuntu“ ir „Red Hat Enterprise Linux“ vis dar nenurodė pataisyto

4:52 branduolio. „Anthropic“ teigia, kad Claude parašė veikiančią spragą serveriams su daugiatakio TCP klausymosi funkcija, o „Go“ programos jas atidaro pagal numatytuosius nustatymus nuo „Go“ vieno taško dvidešimt keturių. „Go“ komanda perspėja, kad sistemos be šios klausymosi funkcijos gali būti pažeidžiamos panašių atakų, ir teigia, kad geriausias pataisymas yra pataisytas branduolys. Jei jūsų distribucija dar neturi pataisyto branduolio, „Red Hat“ ir „AlmaLinux“ skelbia ugniasienės taisyklę, kuri atmeta I P v keturi TCP paketus, turinčius IP parinktis. „Red Hat“ teigia, kad tai sumažina pažeidžiamumą ir negali jo visiškai užkirsti.

5:23 Po to – laukiate. Ką daryti šiandien. Įdiekite savo distribucijos pataisytą branduolį ir perkraukite, taip pat ir konteinerių hostuose bei „Kubernetes“ mazguose, nes konteineriai dalijasi hosto branduoliu. „Debian“, „Suse“ ir „Amazon Linux“ jau turi pataisymus. Jei dar negalite atnaujinti, pradėkite nuo hostų, kuriuose veikia daugiatakio TCP klausymosi funkcijos. Dabar chronometras, kurį pažadėjau.

Atgal prie chronometro: kiek užtruko ataka?

5:44 Pačiame „Anthropic“ įrodymo koncepcijoje prireikia keturiasdešimt aštuonių minučių, kad nutekėtų branduolio rodyklė, o tada dar penkių minučių, kad būtų paleista apvalkalo komanda. „Anthropic“ nepublikavo išnaudojimo. Jei norite tai perskaityti, o ne išgirsti iš manęs, „diff“ kas rytą atsiduria jūsų el. pašto dėžutėje, nemokamai adresu thedailydiff.dev, nuoroda žemiau.

Verdiktas: REVERT

6:02 Taigi šiandienos verdiktas yra REVERT. Aš atšaukčiau „ParticleDB“, nes „Jepsen“ patarimas yra sustabdyti diegimą, ir pataisyčiau tą branduolį, nes jis ateina su chronometru. Ir tai yra šiandienos skirtumas. Aš esu Niko iš Axrisi. Jungti atsakingai.

Šaltiniai

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas