# Извештајот на Jepsen за ParticleDB, USB стикот со отпечатоци од прсти на Lenovo, HackerTube на Karpathy и грешката во Linux TCP CVE-2026-98432: четири приказни за програмери во еден Daily Diff

Published: 2026-11-02

Четири приказни за програмери, секоја припишана на својот извор. Анализата на Jepsen на базата на податоци ParticleDB пронајде 96 проблеми, вклучително и изгубени запишувања во стандардниот режим на трансакции на последното издание што го тестираше, и препорачува запирање на распоредувањето; тестот беше финансиран од Orkes, кој вели дека следното издание поправа сѐ. USB стикот со отпечатоци од прсти Lenovo ThinkPlus FU100, продаден како шифриран со AES-256, содржел обична SD-картичка со ништо шифрирано, според истражувачот Xusheng Li, како што објави Tom's Hardware. Andrej Karpathy го изгради HackerTube, сајт со 6.454 видеа на YouTube препорачани во коментарите на Hacker News, за околу два часа. И грешката во кернелот на Linux CVE-2026-98432, IPv4 TCP use-after-free со оценка 9,8, бара закрпен кернел и рестартирање. Пресудата е REVERT.

Canonical: https://thedailydiff.dev/mk/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Што покрива ова видео

- Jepsen, лабораторијата за тестирање бази на податоци управувана од Кајл Кингсбери, ја објави својата анализа на ParticleDB на 31 октомври 2026 година. ParticleDB е база на податоци Rust од Orkes наменета за агенти за вештачка интелигенција; Orkes ја финансираше работата. Jepsen ги тестираше верзиите 1.1.4 до 1.1.18.11.rc-22 на еден јазол и претставува 96 проблеми, од кои повеќето бараа еден сервер, еден клиент и никакви грешки. Примери во извештајот: клаузула WHERE 4 = 5 врати редови со примарен клуч 5, WHERE TRUE не се совпадна со ништо, и UPDATE може да остави повеќе редови со ист примарен клуч.
- Почетната страница на ParticleDB рекламираше „Целосен ACID. 159K TPS.“ и доказ за TLA+, но Jepsen вели дека немало TLA+ спецификација достапна за време на соработката, а текстот под „Целосен ACID“ велеше изолација на снимката. Во 1.1.18.11.rc-22, последната верзија што Jepsen ја тестираше, стандардниот режим на трансакции occ сè уште губеше извршени записи за време на нормално работење, а најстрогиот сериски режим дозволуваше изгубено ажурирање по убивање на процесите. Orkes вели дека верзијата 1.1.19-rc.13 ги решава сите преостанати проблеми; Jepsen не ја оценил и им препорачува на корисниците да го прекинат понатамошното распоредување на ParticleDB и да мигрираат на други бази на податоци.
- Безбедносниот истражувач Xusheng Li откри дека USB-стикот со отпечатоци од прсти Lenovo ThinkPlus FU100, кој се продаваше како хардверски шифриран со AES-256, содржи обична SD-картичка чии податоци не беа шифрирани; читачот за отпечатоци само ја вклучуваше USB-врската. Тој го пријави ова на 2 август 2025 година, а првото решение на Lenovo беше слој од епоксидна смола врз SD-картичката. Lenovo го оцени своето предупредување како високо, а подоцнежното решение за FU100 и слични дискови бара повикување на сервисна линија во Кина, потоа замена или надградба на фирмверот на лице место, според Tom's Hardware.
- Во следната вест, објавена од Tom's Hardware, Ли го користеше OpenAI Codex со алатката за обратно инженерство на неговиот работодавец против софтверот за заштита на USB од други производители; на Netac му беа потребни околу седум минути бидејќи имаше вграден фиксен клуч и ја запишуваше лозинката во дијагностичките логови, а уредот на друг продавач имаше две скриени сметки што Ли ги нарекува задни врати. За податоци на USB стик, шифрирајте ги датотеките со софтвер што го контролирате пред да стигнат до уредот.
- На 31 октомври 2026 година, Андреј Карпати го опиша HackerTube, веб-сајт во стилот на YouTube на hackertube.org изграден со неговиот агент за кодирање за околу два часа. Агентот ги презеде коментарите од Hacker News, го филтрираше спамот и задржа околу 40.000 кои препорачуваат видео на YouTube, со што доби 6.454 видеа од 2007 до 2026 година низ 150 теми. Сајтот го прикажува кадарот на ознаката од 50 проценти наместо поставената минијатура. Карпати ги наведува своите рачни чекори како клуч за Google Cloud API, сервер и домен.
- CVE-2026-98432 е грешка при употреба по ослободување во IPv4 TCP ракувањето на кернелот на Linux, оценета со CVSS 9.8, достапна од далечински соработник без најава. Поправката на Ерик Думазет ги замени двата обични повици kfree со kfree\_rcu во обврска датирана од 1 октомври; стабилните кернели со поправката беа испорачани на 11 и 15 октомври, а грешката датира од Linux 4.4. Red Hat ја зголеми својата оценка од Важна на Критична на 30 октомври. Ubuntu и Red Hat Enterprise Linux не наведоа фиксен кернел во сабота навечер, 31 октомври. Инсталирајте го фиксниот кернел на вашата дистрибуција и рестартирајте, вклучувајќи ги и домаќините на контејнери, бидејќи контејнерите го споделуваат кернелот на домаќинот.
- Anthropic вели дека Клод напишал работен експлоит за Linux сервери со слушач за повеќепати TCP, и дека во неговиот доказ за концепт се потребни 48 минути за да се испушти покажувач на кернелот и уште пет минути за да се изврши командна линија; експлоитот не е објавен. Go Security Team забележува дека Go програмите овозможуваат слушачи за повеќепати TCP по дифолт од Go 1.24 и предупредува дека системите без тој слушач може да бидат ранливи на слични напади. Red Hat и AlmaLinux објавуваат правило за заштитен ѕид што ги отфрла IPv4 TCP пакетите со IP опции, за кое Red Hat вели дека ја намалува изложеноста и не ја спречува целосно експлоатацијата.

## Прашања и одговори

### Што пронајде Jepsen во базата на податоци ParticleDB и што препорачува?

Анализата на Jepsen за ParticleDB, објавена на 31 октомври 2026 година и финансирана од Orkes, претставува 96 проблеми во верзиите 1.1.4 до 1.1.18.11.rc-22, вклучувајќи WHERE 4 = 5 што враќа редови. Во последното тестирано издание, стандардниот режим на трансакции сè уште губеше извршени записи за време на нормалното работење. Jepsen им препорачува на корисниците да го прекинат понатамошното распоредување на ParticleDB и да мигрираат на други бази на податоци.

### Дали USB-стикот со отпечатоци од прсти ThinkPlus FU100 на Lenovo навистина беше шифриран со AES-256?

Според истражувачот Xusheng Li, како што објави Tom's Hardware и HackingPassion, FU100 беше рекламиран како хардверски шифриран со AES-256, но содржеше обична SD-картичка со ништо на неа шифрирано. Читачот за отпечатоци од прсти само ја овозможуваше USB-врската. Првата поправка на Lenovo беше епоксидна смола врз картичката, а подоцнежната поправка бара повикување на сервисна линија во Кина за замена или надградба на фирмверот на лице место.

### Што е HackerTube и како Андреј Карпати го изгради?

HackerTube на hackertube.org е веб-страница во стилот на YouTube со 6.454 видеа препорачани во коментарите на Hacker News од 2007 до 2026 година, опфаќајќи 150 теми. Објавата на Карпати вели дека неговиот агент за кодирање ги преземал коментарите, го филтрирал спамот и задржал околу 40.000 кои препорачувале видео, и дека изградбата трае околу два часа. Неговите рачни чекори биле клуч за Google Cloud API, сервер и домен.

### Како да ја поправам грешката во кернелот на Linux CVE-2026-98432, и кои дистрибуции имаат закрпен кернел?

Инсталирајте го фиксниот кернел на вашата дистрибуција и рестартирајте, вклучувајќи ги домаќините на контејнери и јазлите на Kubernetes, бидејќи контејнерите го споделуваат кернелот на домаќинот. Пропустот е IPv4 TCP use-after-free со оценка CVSS 9.8, поправен нагоре во стабилните кернели на 11 и 15 октомври. Според Atlas на 31 октомври, Debian, SUSE и Amazon Linux имале поправки, додека Ubuntu и Red Hat Enterprise Linux немале; Red Hat објавува митигација на заштитен ѕид што ја намалува изложеноста.

### Која беше пресудата на The Daily Diff за овие четири приказни?

Пресудата на The Daily Diff беше REVERT. Советот на Jepsen за ParticleDB е да се прекине понатамошното распоредување и да се мигрира, а грешката во кернелот на Linux CVE-2026-98432 бара закрпен кернел и рестартирање, при што сопствениот доказ за концепт на Anthropic трае 48 минути за да се испушти покажувач на кернелот и уште пет за да се изврши командна линија.

## Поглавја

- 0:00 Ладно отворање: како клаузулата „каде“ вели четири е еднакво на пет?
- 0:44 Прва приказна: што пронајде Jepsen во ParticleDB?
- 2:17 Втора приказна: што имаше во USB стикот со отпечатоци од прсти на Lenovo?
- 3:31 Трета приказна: што изгради Карпати едно утро?
- 4:22 Четврта приказна: што да закрпите за CVE-2026-98432?
- 5:43 Назад на стоперката: колку време траеше експлоатацијата?
- 6:02 Пресуда: REVERT

## Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

### Ладно отворање: како клаузулата „каде“ вели четири е еднакво на пет?

0:00 База на податоци што рекламира Full ACID треба да го зачува она што го пишувате. Jepsen тестираше една и пронајде деведесет и шест проблеми, вклучувајќи клаузула „каде“ што велеше четири е еднакво на пет и сè уште враќаше редови. Во ова видео, четири приказни. Што пронајде Jepsen во база на податоци што тврдеше Full ACID? Што имаше во USB-стик со отпечаток од прст продаден како шифриран? Што изгради Андреј Карпати едно утро? И што закрпувате за грешка во мрежата на Linux?

0:26 Една од тие грешки доаѓа со стоперка. Ќе ви ја прочитам на крајот. Недела е, први ноември, и ова е The Daily Diff. Jepsen е лабораторијата за тестирање на Кајл Кингсбери. Таа работи база на податоци низ реални работни оптоварувања и дефекти и проверува дали гаранциите на веб-страницата се одржуваат. Замислете инспектор кој навистина го отвора фрижидерот.

### Прва приказна: што пронајде Jepsen во ParticleDB?

0:44 Прва приказна. Во сабота Jepsen го објави својот извештај за ParticleDB, база на податоци Rust од Orkes наменета за AI агенти. Orkes ја плати работата. Почетната страница велеше Full ACID, сто педесет и девет илјади трансакции во секунда. Jepsen го тестираше ParticleDB од неговата прва верзија 1.1 до доцна кандидат за издание. Сајтот го нарече формално докажан, со TLA плус доказ. Jepsen вели дека немало TLA плус спецификација достапна за време на работата.

1:10 Под линијата Full ACID, истата страница велеше изолација на снимката, што не е целосно изолирана. Грешките не беа суптилни. На повеќето им требаше еден сервер, еден клиент и без внесени дефекти. Клаузула „каде“ што велеше четири е еднакво на пет враќаше редови. Клаузула „каде“ што велеше точно не се совпаѓаше со ништо. Ажурирањата оставија два реда со ист примарен клуч. Последното издание што Jepsen го тестираше, издание кандидат дваесет и две,

1:36 беше многу побезбедно. И покрај тоа, стандардниот режим на трансакции ги губеше извршените записи за време на нормалното работење. Најстрогиот режим сепак дозволуваше изгубени ажурирања по убивање на процес. Orkes вели дека неговото следно издание го поправа сето ова. Jepsen не го тестираше. Така, во тоа последно издание, база на податоци што ветуваше Full ACID можеше да изгуби запис што веќе го извршила. Брзината, претпоставувам, беше одлична.

2:00 Советот на Jepsen е јасен. Запрете го понатамошното распоредување на ParticleDB и мигрирајте на друга база на податоци што е можно поскоро. Orkes го обвинува пролетното преработка и вели дека неговите сопствени клиенти, на постара верзија, веројатно не биле засегнати. Документацијата за зачуваните процедури дури измисли е-адреса за Кајл Кингсбери. Втора приказна. Lenovo ThinkPlus FU100 е USB-стик со отпечатоци од прсти

### Втора приказна: што имаше во USB стикот со отпечатоци од прсти на Lenovo?

2:21 кој се продава како хардверски шифриран со AES-256. Безбедносниот истражувач Xusheng Li го расклопи и пронајде обична SD-картичка, со ништо на неа шифрирано. Читачот за отпечатоци од прсти одлучуваше само едно, дали стикот се поврзува со компјутерот. Датотеките на картичката никогаш не зависеа од тоа. Ли го пријави пропустот на Lenovo во август 2025 година. Првото решение беше слој од епоксидна смола врз SD-картичката. Значи, датотеките никогаш не беа шифрирани.

2:47 Чекај, тоа е само SD-картичка? Отсекогаш било. Lenovo го оцени своето предупредување како високо. Подоцнежната поправка, за FU100 и три поврзани дискови, значи повикување на сервисна линија во Кина, потоа или враќање на дискот или добивање надградба на фирмверот на лице место. Lenovo советува прво да се избрише дискот. Минатата недела Ли го насочи OpenAI Codex, плус алатката за обратно инженерство на неговиот работодавец,

3:09 кон софтверот за заштита на USB од други производители. На Netac му беа потребни околу седум минути, бидејќи имаше вграден фиксен клуч и ја запишуваше лозинката во дијагностичките логови. Еден диск имаше две скриени сметки што Ли ги нарекува задни врати. Ако безбедноста на дискот е хардверот, проверете сами. Шифрирајте ги датотеките со софтвер што го контролирате пред да стигнат до стикот, и третирајте го отпечатокот од прст како погодност.

### Трета приказна: што изгради Карпати едно утро?

3:31 Трета приказна, лесната. Во петок навечер Андреј Карпати отвори YouTube, виде нешто што го нарече „засран ѕид од кал“, а во сабота наутро му рече на својот агент за кодирање да изгради замена од сè што препорачува Hacker News. Агентот ги презеде коментарите од Hacker News, го филтрираше спамот, и задржа околу четириесет илјади што препорачуваа видео на YouTube. Тоа остави шест илјади четиристотини педесет и четири видеа, од две илјади седум до сега, во сто педесет теми.

3:58 Веб-страницата е hackertube.org. Ја прикажува рамката од средината наместо минијатурата што ја избрал поставувачот, што малку боли. Карпати вели дека целата изградба траела околу два часа. Неговите единствени рачни чекори беа клуч за Google API, сервер и домен. На дванаесетти октомври ви кажав дека Карпати мисли дека пристапот и задачите создаваат јаз во начинот на кој луѓето ги разбираат овие алатки. Два часа работа е пристоен податок.

4:21 Четврта приказна, онаа за дејствување.

### Четврта приказна: што да закрпите за CVE-2026-98432?

4:23 CVE 2026, 98432 е use-after-free во IPv4 TCP ракувањето на кернелот на Linux, со оценка 9.8 од десет. Достапна е од далечински соработник без најава. Ерик Думазе го напиша поправката на први октомври. Поправката стигна до стабилните кернели на единаесетти и петнаесетти октомври, и грешката датира од Linux 4.4. Red Hat ја зголеми својата оценка од важна на критична на триесетти октомври. Во сабота навечер, Ubuntu и Red Hat Enterprise Linux сè уште не наведоа фиксен кернел.

4:52 Anthropic вели дека Клод напишал работен експлоит за сервери со multipath TCP слушач, а Go програмите ги отвориле по дифолт од Go 1.24. Тимот на Go предупредува дека системите без тој слушач може да бидат ранливи на слични напади и вели дека најдобрата поправка е закрпен кернел. Ако вашата дистрибуција сè уште нема фиксен кернел, Red Hat и AlmaLinux објавуваат правило за заштитен ѕид што ги отфрла IPv4 TCP пакетите што носат IP опции. Red Hat вели дека ја намалува изложеноста и не може целосно да ја спречи. Потоа, чекате.

5:23 Што да се прави денес. Инсталирајте го фиксниот кернел на вашата дистрибуција и рестартирајте, на домаќини на контејнери и Kubernetes јазли исто така, бидејќи контејнерите го споделуваат кернелот на домаќинот. Debian, Suse и Amazon Linux веќе имаат поправки. Ако сè уште не можете да закрпите, започнете со домаќини што работат со multipath TCP слушачи. Сега стоперката што ја ветив. Во сопствениот доказ за концепт на Anthropic, потребни се четириесет и осум минути за да се испушти

### Назад на стоперката: колку време траеше експлоатацијата?

5:44 покажувач на кернелот, а потоа уште пет минути за да се изврши командна линија. Anthropic не го објави експлоитот. Ако повеќе сакате да го прочитате ова отколку да ме слушнете како го кажувам, дифузијата ви пристигнува во инбокс секое утро, бесплатно на thedailydiff.dev, линкот е подолу. Така, денешната пресуда е REVERT.

### Пресуда: REVERT

6:02 Би го вратил ParticleDB, бидејќи советот на Jepsen е да се прекине распоредувањето, и би го закрпил тој кернел, бидејќи доаѓа со стоперка. И тоа е разликата за денес. Јас сум Нико од Axrisi. Спојувајте одговорно. Одговорно спојување.

## Извори

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas