ParticleDB Jepsen ziņojums, Lenovo pirkstu nospiedumu USB atmiņa, Karpathy HackerTube un Linux TCP kļūda CVE-2026-98432: četri izstrādātāju stāsti vienā Daily Diff

Ko aptver šis video

• Jepsen, Kyle Kingsbury vadītā datu bāzu testēšanas laboratorija, publicēja savu ParticleDB analīzi 2026. gada 31. oktobrī. ParticleDB ir Rust datu bāze no Orkes, kas paredzēta AI aģentiem; Orkes finansēja darbu. Jepsen testēja versijas no 1.1.4 līdz 1.1.18.11.rc-22 uz viena mezgla un uzrādīja 96 problēmas, no kurām lielākajai daļai bija nepieciešams viens serveris, viens klients un bez kļūdām. Piemēri ziņojumā: klauzula WHERE 4 = 5 atgrieza rindas ar primāro atslēgu 5, WHERE TRUE neatrada neko, un UPDATE varēja atstāt vairākas rindas ar vienu un to pašu primāro atslēgu.
• ParticleDB mājaslapā tika reklamēts “Pilns ACID. 159K TPS.” un TLA+ pierādījums, taču Jepsen norāda, ka TLA+ specifikācija nebija pieejama sadarbības laikā, un teksts zem “Pilns ACID” vēstīja par momentuzņēmumu izolāciju. Versijā 1.1.18.11.rc-22, pēdējā Jepsen testētajā versijā, noklusējuma occ transakciju režīms joprojām zaudēja apstiprinātus rakstījumus normālas darbības laikā, un stingrākais serializējamais režīms pieļāva zaudētus atjauninājumus pēc procesu izbeigšanas. Orkes apgalvo, ka versija 1.1.19-rc.13 atrisina visas atlikušās problēmas; Jepsen to nav novērtējis un iesaka lietotājiem apturēt ParticleDB turpmāku izvietošanu un migrēt uz citām datu bāzēm.
• Drošības pētnieks Xusheng Li atklāja, ka Lenovo ThinkPlus FU100 pirkstu nospiedumu USB atmiņas ierīce, kas tika tirgota kā aparatūras šifrēta ar AES-256, saturēja parastu SD karti, kuras dati netika šifrēti; pirkstu nospiedumu lasītājs tikai ieslēdza USB savienojumu. Viņš par to ziņoja 2025. gada 2. augustā, un Lenovo pirmais labojums bija epoksīda slānis virs SD kartes. Lenovo savu brīdinājumu novērtēja kā augstu, un vēlākais labojums FU100 un saistītajiem diskiem prasa zvanīt uz servisa līniju Ķīnā, pēc tam nomaiņu vai programmaparatūras jaunināšanu uz vietas, kā ziņo Tom's Hardware.
• Tom's Hardware ziņotajā turpinājumā Li izmantoja OpenAI Codex ar sava darba devēja reversās inženierijas rīku pret citu ražotāju USB aizsardzības programmatūru; Netac programmatūra prasīja apmēram septiņas minūtes, jo tajā bija iebūvēta fiksēta atslēga un parole tika ierakstīta diagnostikas žurnālos, un cita pārdevēja diskam bija divi slēpti konti, ko Li dēvē par aizmugures durvīm. Datu drošībai uz USB atmiņas ierīces šifrējiet failus ar jūsu kontrolētu programmatūru, pirms tie nonāk ierīcē.
• 2026. gada 31. oktobrī Andrejs Karpathy aprakstīja HackerTube, YouTube stila vietni hackertube.org, kas tika izveidota ar viņa kodēšanas aģentu apmēram divās stundās. Aģents lejupielādēja Hacker News komentārus, filtrēja spamu un saglabāja apmēram 40 000, kas iesaka YouTube videoklipu, iegūstot 6454 videoklipus no 2007. līdz 2026. gadam 150 tēmās. Vietne parāda rāmi 50 procentu atzīmē, nevis augšupielādēto sīktēlu. Karpathy savas manuālās darbības uzskaita kā Google Cloud API atslēgu, serveri un domēnu.
• CVE-2026-98432 ir use-after-free kļūda Linux kodola IPv4 TCP "rokasspiešanā", kuras CVSS vērtējums ir 9.8 un kuru var sasniegt attālināts partneris bez pieteikšanās. Erica Dumazet labojums aizstāja divus vienkāršus kfree izsaukumus ar kfree_rcu 1. oktobra apstiprinājumā; stabilie kodoli ar labojumu tika izlaisti 11. un 15. oktobrī, un kļūda datējama ar Linux 4.4. Red Hat 30. oktobrī paaugstināja savu vērtējumu no svarīga uz kritisku. Ubuntu un Red Hat Enterprise Linux sestdienas vakarā, 31. oktobrī, nebija norādījuši labotu kodolu. Instalējiet savas izplatīšanas laboto kodolu un restartējiet, tostarp konteineru saimniekus, jo konteineri dala saimniekdatora kodolu.
• Anthropic apgalvo, ka Claude uzrakstīja strādājošu ekspluatāciju Linux serveriem ar daudzceļu TCP klausītāju, un ka viņu koncepcijas pierādījumā ir nepieciešamas 48 minūtes, lai nopludinātu kodola rādītāju, un vēl piecas minūtes, lai palaistu čaulas komandu; ekspluatācija nav publicēta. Go drošības komanda atzīmē, ka Go programmas pēc noklusējuma iespējo daudzceļu TCP klausītājus kopš Go 1.24, un brīdina, ka sistēmas bez šī klausītāja var būt neaizsargātas pret līdzīgiem uzbrukumiem. Red Hat un AlmaLinux publicē ugunsmūra noteikumu, kas nomet IPv4 TCP paketes ar IP opcijām, kas, pēc Red Hat domām, samazina iedarbību un pilnībā nenovērš ekspluatāciju.

Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

Aukstā atklāšana: kā klauzula "where" var teikt "četri ir pieci"?

0:00 Datu bāzei, kas reklamē Pilnu ACID, ir jāsaglabā tas, ko jūs rakstāt. Jepsen pārbaudīja vienu un atklāja deviņdesmit sešas problēmas, tostarp klauzulu "where", kas teica, ka "četri ir pieci" un joprojām atgrieza rindas. Šajā video – četri stāsti. Ko Jepsen atrada datu bāzē, kas apgalvoja, ka ir "Pilna ACID"? Kas bija iekšā pirkstu nospiedumu USB atmiņas kartē, kas tika pārdota kā šifrēta? Ko Andrejs Karpathy uzbūvēja vienā rītā? Un ko jums jālabo Linux tīkla kļūdas dēļ?

0:26 Viena no šīm kļūdām nāk ar hronometru. Es to jums nolasīšu beigās. Ir svētdiena, pirmais novembris, un tas ir The Daily Diff. Jepsen ir Kaila Kingsberija testēšanas laboratorija. Tā izlaiž datu bāzi cauri reālām darba slodzēm un kļūdām un pārbauda, vai tiek ievērotas tīmekļa vietnē sniegtās garantijas. Iedomājieties inspektoru, kurš patiešām atver ledusskapi.

Pirmais stāsts: ko Jepsen atklāja ParticleDB?

0:44 Pirmais stāsts. Sestdien Jepsen publicēja savu ziņojumu par ParticleDB, Rust datu bāzi no Orkes, kas paredzēta AI aģentiem. Orkes apmaksāja darbu. Mājaslapā bija rakstīts "Pilns ACID", simt piecdesmit deviņi tūkstoši transakciju sekundē. Jepsen testēja ParticleDB no tās pirmās 1.1 versijas līdz vēlākam laidiena kandidātam. Vietnē to sauca par formāli pierādītu, ar TLA plus pierādījumu. Jepsen saka, ka darba laikā TLA plus specifikācija nebija pieejama.

1:10 Zem "Pilna ACID" rindas tajā pašā lapā bija rakstīts "snapshot isolation", kas nav pilnībā izolēts. Kļūdas nebija smalkas. Lielākajai daļai bija nepieciešams viens serveris, viens klients un netika injicētas kļūmes. "Where" klauzula, kas teica "četri vienāds ar pieci", atgrieza rindas. "Where" klauzula, kas teica "true", neko neatbilda. Atjauninājumi atstāja divas rindas ar vienu un to pašu primāro atslēgu. Pēdējais Jepsen testētais izlaidums, versijas kandidāts divdesmit divi,

1:36 bija daudz drošāks. Tomēr noklusējuma transakciju režīms zaudēja apstiprinātus ierakstus normālas darbības laikā. Stingrākais režīms joprojām pieļāva zaudētus atjauninājumus pēc procesa pārtraukšanas. Orkes apgalvo, ka nākamajā versijā tas viss tiks labots. Jepsen to nav testējis. Tātad pēdējā versijā datu bāze, kas solīja pilnu ACID, varēja zaudēt jau apstiprinātu ierakstu. Ātrums, pieļauju, bija izcils.

2:00 Jepsena padoms ir skaidrs. Pārtraukt ParticleDB turpmāko izvietošanu un pēc iespējas ātrāk migrēt uz citu datu bāzi. Orkes vaino pavasara refaktoru un apgalvo, ka tās pašu klienti, izmantojot vecāku versiju, visticamāk, netika ietekmēti. Saglabāto procedūru dokumentācijā pat tika izgudrota e-pasta adrese Kailam Kingsburijam. Otrais stāsts. Lenovo ThinkPlus FU100 ir pirkstu nospiedumu USB atmiņas ierīce,

Otrais stāsts: kas bija iekšā Lenovo pirkstu nospiedumu USB atmiņas ierīcē?

2:21 kas tiek tirgota kā aparatūras šifrēta ar AES-256. Drošības pētnieks Xusheng Li izjauca vienu un atrada parastu SD karti, ar neko nešifrētu. Pirkstu nospiedumu lasītājs izlēma vienu lietu: vai ierīce pieslēdzās datoram. Faili uz kartes nekad nebija atkarīgi no tā. Li ziņoja par kļūdu Lenovo 2025. gada augustā. Pirmais labojums bija epoksīda slānis virs SD kartes. Tātad faili nekad netika šifrēti.

2:47 Pagaidiet, tas ir tikai SD karte? Vienmēr tā ir bijusi. Lenovo savu brīdinājumu novērtēja kā augstu. Vēlākais labojums FU100 un trim saistītajiem diskiem nozīmē zvanīt uz servisa līniju Ķīnā, pēc tam vai nu sūtīt disku atpakaļ, vai saņemt programmaparatūras jaunināšanu uz vietas. Lenovo iesaka vispirms izdzēst diska datus. Pagājušajā nedēļā Li vērsās pie OpenAI Codex, kā arī viņa darba devēja reversās inženierijas

3:09 rīka, pret citu ražotāju USB aizsardzības programmatūru. Netac programmatūra prasīja apmēram septiņas minūtes, jo tajā bija iebūvēta fiksēta atslēga un parole tika ierakstīta diagnostikas žurnālos. Vienam diskam bija divi slēpti konti, ko Li dēvē par aizmugures durvīm. Ja diska drošība ir aparatūra, pārbaudiet to pats. Šifrējiet failus ar programmatūru, ko jūs kontrolējat, pirms tie nonāk atmiņā, un uzskatiet pirkstu nospiedumu kā ērtību.

Trešais stāsts: ko Karpathy uzbūvēja vienā rītā?

3:31 Trešais stāsts, vieglais. Piektdienas vakarā Andrejs Karpathy atvēra YouTube, ieraudzīja to, ko viņš nosauca par apžūžinātu vircas sienu, un sestdienas rītā pavēlēja savam kodēšanas aģentam izveidot aizvietotāju no tā, ko iesaka Hacker News. Aģents lejupielādēja Hacker News komentārus, filtrēja spamu, un saglabāja apmēram četrdesmit tūkstošus, kas iesaka YouTube videoklipu. Tas atstāja sešus tūkstošus četrsimt piecdesmit četrus videoklipus, no diviem tūkstošiem septiņiem līdz šim, simt piecdesmit tēmās.

3:58 Vietne ir hackertube.org. Tā rāda kadru no pusceļa atzīmes, nevis augšupielādētāja izvēlēto sīktēlu, kas nedaudz sāp. Karpathy saka, ka visa būvniecība ilga apmēram divas stundas. Viņa vienīgie manuālie soļi bija Google API atslēga, serveris un domēns. Divpadsmitajā oktobrī es jums teicu, ka Karpathy uzskata, ka pieejamība un uzdevumi rada plaisu cilvēku izpratnē par šiem rīkiem. Divas darba stundas ir cienīgs datu punkts.

4:21 Ceturtais stāsts, par ko jārīkojas.

Ceturtais stāsts: ko jums jālabo CVE-2026-98432 dēļ?

4:23 CVE-2026-98432 ir use-after-free kļūda Linux kodola IPv4 TCP "rokasspiešanā", novērtēta ar 9.8 no desmit. Attālināts vienaudzis bez pieteikšanās var to sasniegt. Eriks Dumažets izveidoja labojumu pirmajā oktobrī. Labojums sasniedza stabilus kodolus vienpadsmitajā un piecpadsmitajā oktobrī, un kļūda datējama ar Linux 4.4. Red Hat 30. oktobrī paaugstināja savu vērtējumu no svarīga uz kritisku. Sestdienas vakarā Ubuntu un Red Hat Enterprise Linux joprojām nebija norādījuši labotu kodolu. Antropisks apgalvo, ka Claude uzrakstīja strādājošu ekspluatāciju serveriem ar daudzceļu TCP

4:52 klausītāju, un Go programmas to ir atvērušas pēc noklusējuma kopš Go 1.24. Go komanda brīdina, ka sistēmas bez šī klausītāja var būt neaizsargātas pret līdzīgiem uzbrukumiem, un saka, ka labākais labojums ir labots kodols. Ja jūsu izplatīšanai vēl nav labota kodola, Red Hat un AlmaLinux publicē ugunsmūra noteikumu, kas nomet IPv4 TCP paketes ar IP opcijām. Red Hat saka, ka tas samazina iedarbību un nevar to pilnībā novērst. Pēc tam jūs gaidāt. Ko darīt šodien.

5:23 Instalējiet jūsu izplatīšanas laboto kodolu un restartējiet, arī konteineru saimniekdatoros un Kubernetes mezglos, jo konteineri dala saimniekdatora kodolu. Debian, Suse un Amazon Linux jau ir labojumi. Ja vēl nevarat labot, sāciet ar resursdatoriem, kas darbojas ar daudzceļu TCP klausītājiem. Tagad solītais hronometrs. Anthropic paša koncepcijas pierādījumā ir nepieciešamas četrdesmit astoņas minūtes, lai nopludinātu kodola rādītāju, un vēl piecas minūtes, lai palaistu čaulas komandu.

Atpakaļ pie hronometra: cik ilgi ilga ekspluatācija?

5:44 Anthropic nav publicējis ekspluatāciju. Ja jūs labāk lasītu to, nevis dzirdētu mani to sakām, "diff" nonāk jūsu iesūtnē katru rītu, bez maksas vietnē thedailydiff.dev, saite zemāk. Tātad šodienas spriedums ir REVERT. Es atceltu ParticleDB, jo Jepsen padoms ir apturēt izvietošanu,

Spriedums: REVERT

6:02 un es labotu to kodolu, jo tas nāk ar hronometru. Un tas ir šodienas "diff". Esmu Niko no Axrisi. Apvienot atbildīgi. Faq:0:q Ko Jepsen atklāja ParticleDB datu bāzē un ko tas iesaka?

Avoti

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas