Laporan Jepsen ParticleDB, USB kayu cap jari Lenovo, HackerTube Karpathy dan pepijat TCP Linux CVE-2026-98432: empat kisah pembangun dalam satu Daily Diff

Apa yang diliputi video ini

• Jepsen, makmal ujian pangkalan data yang dikendalikan oleh Kyle Kingsbury, menerbitkan analisisnya mengenai ParticleDB pada 31 Oktober 2026. ParticleDB adalah pangkalan data Rust dari Orkes yang bertujuan untuk ejen AI; Orkes membiayai kerja tersebut. Jepsen menguji versi 1.1.4 hingga 1.1.18.11.rc-22 pada satu nod dan membentangkan 96 isu, kebanyakannya memerlukan satu pelayan, satu klien dan tiada kesalahan. Contoh dalam laporan: klausa WHERE 4 = 5 mengembalikan baris dengan kunci utama 5, WHERE TRUE tidak sepadan dengan apa-apa, dan UPDATE boleh meninggalkan berbilang baris dengan kunci utama yang sama.
• Halaman utama ParticleDB mengiklankan 'Full ACID. 159K TPS.' dan bukti TLA+, tetapi Jepsen mengatakan tiada spesifikasi TLA+ tersedia semasa kerjasama, dan teks di bawah 'Full ACID' menyatakan pengasingan snapshot. Dalam 1.1.18.11.rc-22, versi terakhir yang diuji Jepsen, mod transaksi lalai occ masih kehilangan tulisan yang dilakukan semasa operasi biasa, dan mod serializable yang paling ketat membenarkan Kemas Kini Hilang selepas pembunuhan proses. Orkes mengatakan versi 1.1.19-rc.13 menyelesaikan semua isu yang tinggal; Jepsen belum menilainya dan mengesyorkan agar pengguna menghentikan penggunaan ParticleDB selanjutnya dan berpindah ke pangkalan data lain.
• Penyelidik keselamatan Xusheng Li mendapati bahawa USB kayu cap jari Lenovo ThinkPlus FU100, yang dipasarkan sebagai perkakasan yang dienkripsi dengan AES-256, mengandungi kad SD biasa yang datanya tidak dienkripsi; pembaca cap jari hanya menghidupkan sambungan USB. Beliau melaporkannya pada 2 Ogos 2025, dan penyelesaian pertama Lenovo adalah lapisan epoksi di atas kad SD. Lenovo menilai nasihatnya tinggi, dan penyelesaian kemudian untuk FU100 dan pemacu berkaitan memerlukan panggilan talian perkhidmatan di China, kemudian penggantian atau peningkatan firmware di lokasi, menurut Tom's Hardware.
• Dalam susulan yang dilaporkan oleh Tom's Hardware, Li menggunakan Codex OpenAI dengan alat kejuruteraan terbalik majikannya terhadap perisian perlindungan USB pembuat lain; Netac mengambil masa kira-kira tujuh minit kerana ia mempunyai kunci tetap yang terbina dalam dan menulis kata laluan ke log diagnostik, dan pemacu vendor lain mempunyai dua akaun tersembunyi yang Li panggil pintu belakang. Untuk data pada USB kayu, enkripsikan fail dengan perisian yang anda kawal sebelum ia mencapai peranti.
• Pada 31 Oktober 2026, Andrej Karpathy menerangkan HackerTube, sebuah laman web gaya YouTube di hackertube.org yang dibina dengan ejen pengekodannya dalam kira-kira dua jam. Ejen itu memuat turun komen Hacker News, menapis spam dan menyimpan kira-kira 40,000 yang mengesyorkan video YouTube, menghasilkan 6,454 video dari 2007 hingga 2026 merangkumi 150 topik. Laman web tersebut menunjukkan bingkai pada tanda 50 peratus dan bukannya lakaran kecil yang dimuat naik. Karpathy menyenaraikan langkah manualnya sebagai kunci API Google Cloud, pelayan dan domain.
• CVE-2026-98432 adalah penggunaan selepas bebas dalam jabat tangan TCP IPv4 kernel Linux, yang mendapat skor CVSS 9.8, boleh dicapai oleh rakan kongsi jauh tanpa log masuk. Pembetulan Eric Dumazet menggantikan dua panggilan kfree biasa dengan kfree_rcu dalam komit bertarikh 1 Oktober; kernel stabil dengan pembetulan dihantar pada 11 dan 15 Oktober, dan pepijat tersebut bermula dari Linux 4.4. Red Hat menaikkan penarafannya dari Penting kepada Kritikal pada 30 Oktober. Ubuntu dan Red Hat Enterprise Linux tidak menyenaraikan kernel yang diperbaiki pada petang Sabtu, 31 Oktober. Pasang kernel yang diperbaiki oleh edaran anda dan but semula, termasuk hos kontena, kerana kontena berkongsi kernel hos.
• Anthropic mengatakan Claude menulis eksploitasi yang berfungsi untuk pelayan Linux dengan pendengar TCP multipath, dan dalam bukti konsepnya ia mengambil masa 48 minit untuk membocorkan penunjuk kernel dan lima minit lagi untuk menjalankan perintah shell; eksploitasi tersebut tidak diterbitkan. Pasukan Go Security menyatakan bahawa program Go membolehkan pendengar TCP multipath secara lalai sejak Go 1.24 dan memberi amaran bahawa sistem tanpa pendengar tersebut mungkin terdedah kepada serangan serupa. Red Hat dan AlmaLinux menerbitkan peraturan firewall yang menggugurkan paket TCP IPv4 dengan pilihan IP, yang menurut Red Hat mengurangkan pendedahan dan tidak sepenuhnya mencegah eksploitasi.

Transkrip terjemahan

Diterjemahkan daripada penceritaan asal Bahasa Inggeris. Audio dan kapsyen yang tersedia dikawal oleh YouTube.

Pembukaan dingin: bagaimana klausa 'where' menyatakan empat sama dengan lima?

0:00 Pangkalan data yang mengiklankan ACID Penuh sepatutnya menyimpan apa yang anda tulis. Jepsen menguji satu dan menemui sembilan puluh enam isu, termasuk klausa where yang mengatakan empat sama dengan lima dan masih mengembalikan baris. Dalam video ini, empat cerita. Apakah yang ditemui Jepsen dalam pangkalan data yang mendakwa ACID Penuh? Apakah yang terdapat di dalam USB kayu cap jari yang dijual sebagai dienkripsi? Apakah yang dibina Andrej Karpathy pada suatu pagi? Dan apakah yang anda tampal untuk pepijat rangkaian Linux?

0:26 Salah satu pepijat itu dilengkapi dengan jam randik. Saya akan membacakannya kepada anda di akhir. Ini hari Ahad, satu November, dan ini adalah The Daily Diff. Jepsen adalah makmal ujian Kyle Kingsbury. Ia menjalankan pangkalan data melalui beban kerja dan kegagalan sebenar dan memeriksa sama ada jaminan di laman web itu berlaku. Fikirkan seorang inspektor yang sebenarnya membuka peti sejuk.

Kisah satu: apakah yang ditemui Jepsen dalam ParticleDB?

0:44 Kisah satu. Pada hari Sabtu Jepsen menerbitkan laporannya mengenai ParticleDB, pangkalan data Rust dari Orkes yang bertujuan untuk ejen AI. Orkes membayar untuk kerja itu. Halaman utama mengatakan ACID Penuh, seratus lima puluh sembilan ribu transaksi per saat. Jepsen menguji ParticleDB dari binaan satu titik satu pertamanya hingga calon keluaran lewat. Laman web itu memanggilnya terbukti secara formal, dengan bukti TLA plus. Jepsen mengatakan tiada spesifikasi TLA plus tersedia semasa kerja.

1:10 Di bawah baris ACID Penuh, halaman yang sama mengatakan pengasingan snapshot, yang tidak sepenuhnya terasing. Pepijat itu tidak halus. Kebanyakan memerlukan satu pelayan, satu klien dan tiada kegagalan yang disuntik. Klausa where yang mengatakan empat sama dengan lima mengembalikan baris. Klausa where yang mengatakan benar tidak sepadan dengan apa-apa. Kemas kini meninggalkan dua baris dengan kunci utama yang sama. Keluaran terakhir yang diuji Jepsen, calon keluaran dua puluh dua,

1:36 lebih selamat. Walaupun begitu, mod transaksi lalai kehilangan tulisan yang dilakukan semasa operasi biasa. Mod paling ketat masih membenarkan kemas kini yang hilang selepas pembunuhan proses. Orkes mengatakan keluaran seterusnya membetulkan semua ini. Jepsen belum mengujinya. Jadi dalam keluaran terakhir itu, pangkalan data yang menjanjikan ACID Penuh boleh kehilangan tulisan yang telah dilakukan. Kelajuan, saya andaikan, sangat baik.

2:00 Nasihat Jepsen jelas. Hentikan penggunaan ParticleDB selanjutnya dan berpindah ke pangkalan data lain secepat mungkin. Orkes menyalahkan penstrukturan semula musim bunga dan mengatakan pelanggannya sendiri, pada versi yang lebih lama, mungkin tidak terjejas. Dokumen prosedur tersimpan bahkan mencipta alamat e-mel untuk Kyle Kingsbury. Kisah dua. Lenovo ThinkPlus FU seratus adalah USB kayu cap jari

Kisah dua: apakah yang terdapat di dalam USB kayu cap jari Lenovo?

2:21 yang dipasarkan sebagai perkakasan dienkripsi dengan AES dua lima enam. Penyelidik keselamatan Xusheng Li membuka satu dan menemui kad SD biasa, dengan tiada apa-apa di atasnya yang dienkripsi. Pembaca cap jari memutuskan satu perkara, sama ada kayu itu disambungkan ke komputer. Fail pada kad itu tidak pernah bergantung kepadanya. Li melaporkan kecacatan itu kepada Lenovo pada Ogos dua puluh dua puluh lima. Pembetulan pertama adalah lapisan epoksi di atas kad SD. Jadi fail itu tidak pernah dienkripsi.

2:47 Tunggu, ini hanya kad SD? Sentiasa begitu. Lenovo menilai nasihatnya sendiri tinggi. Pembetulan kemudian, untuk FU seratus dan tiga pemacu berkaitan, bermakna memanggil talian perkhidmatan di China, kemudian sama ada menghantar pemacu itu kembali atau mendapatkan peningkatan firmware di lokasi. Lenovo menasihatkan untuk memadamkan pemacu terlebih dahulu. Minggu lepas Li mengarahkan Codex OpenAI, ditambah alat kejuruteraan terbalik

3:09 majikannya, pada perisian perlindungan USB pembuat lain. Netac mengambil masa kira-kira tujuh minit, kerana ia mempunyai kunci tetap yang terbina dalam dan menulis kata laluan ke log diagnostik. Satu pemacu mempunyai dua akaun tersembunyi yang Li panggil pintu belakang. Jika keselamatan pemacu adalah perkakasan, periksa sendiri. Enkripsikan fail dengan perisian yang anda kawal sebelum ia mencapai kayu itu, dan anggap cap jari sebagai kemudahan.

Kisah tiga: apakah yang dibina Karpathy pada suatu pagi?

3:31 Kisah tiga, yang ringan. Pada malam Jumaat Andrej Karpathy membuka YouTube, melihat apa yang dipanggilnya dinding sampah yang 'enshittified', dan pada pagi Sabtu memberitahu ejen pengekodannya untuk membina pengganti dari apa sahaja yang disyorkan oleh Hacker News. Ejen itu memuat turun komen Hacker News, menapis spam, dan menyimpan kira-kira empat puluh ribu yang mengesyorkan video YouTube. Itu meninggalkan enam ribu empat ratus lima puluh empat video, dari dua ribu tujuh hingga sekarang, dalam seratus lima puluh topik.

3:58 Laman web itu adalah hackertube dot org. Ia menunjukkan bingkai dari tanda pertengahan dan bukannya lakaran kecil yang dipilih oleh pemuat naik, yang sedikit menyakitkan hati. Karpathy mengatakan keseluruhan binaan itu mengambil masa kira-kira dua jam. Satu-satunya langkah manualnya ialah kunci API Google, pelayan dan domain. Pada dua belas Oktober saya memberitahu anda Karpathy berpendapat akses dan tugas mencipta jurang dalam bagaimana orang memahami alat ini. Dua jam kerja adalah titik data yang baik.

4:21 Kisah empat, yang perlu diambil tindakan.

Kisah empat: apakah yang anda tampal untuk CVE-2026-98432?

4:23 CVE dua puluh dua puluh enam, sembilan puluh lapan empat tiga puluh dua adalah penggunaan selepas bebas dalam jabat tangan TCP I P v empat kernel Linux, mendapat skor sembilan titik lapan daripada sepuluh. Rakan kongsi jauh tanpa log masuk boleh mencapainya. Eric Dumazet menulis pembetulan itu pada satu Oktober. Pembetulan itu sampai ke kernel stabil pada sebelas dan lima belas Oktober, dan pepijat itu bermula dari Linux empat titik empat. Red Hat menaikkan penarafannya dari penting kepada kritikal pada tiga puluh Oktober. Pada petang Sabtu, Ubuntu dan Red Hat Enterprise Linux masih tidak menyenaraikan kernel

4:52 yang diperbaiki. Anthropic mengatakan Claude menulis eksploitasi yang berfungsi untuk pelayan dengan pendengar TCP multipath, dan program Go telah membukanya secara lalai sejak Go satu titik dua puluh empat. Pasukan Go memberi amaran bahawa sistem tanpa pendengar itu mungkin terdedah kepada serangan serupa, dan mengatakan pembetulan terbaik adalah kernel yang ditampal. Jika edaran anda belum mempunyai kernel yang diperbaiki, Red Hat dan AlmaLinux menerbitkan peraturan firewall yang menggugurkan paket TCP I P v empat yang membawa pilihan IP. Red Hat mengatakan ia mengurangkan pendedahan dan tidak dapat mencegah sepenuhnya.

5:23 Selepas itu, anda tunggu. Apa yang perlu dilakukan hari ini. Pasang kernel yang diperbaiki oleh edaran anda dan but semula, pada hos kontena dan nod Kubernetes juga, kerana kontena berkongsi kernel hos. Debian, Suse dan Amazon Linux sudah mempunyai pembetulan. Jika anda belum boleh menampal, mulakan dengan hos yang menjalankan pendengar TCP multipath. Sekarang jam randik yang saya janjikan.

Kembali ke jam randik: berapa lama eksploitasi itu berlaku?

5:44 Dalam bukti konsep Anthropic sendiri, ia mengambil masa empat puluh lapan minit untuk membocorkan penunjuk kernel, kemudian lima minit lagi untuk menjalankan perintah shell. Anthropic belum menerbitkan eksploitasi itu. Jika anda lebih suka membaca ini daripada mendengar saya mengatakannya, diff itu sampai ke peti masuk anda setiap pagi, percuma di the daily diff dot dev, pautan di bawah.

Keputusan: REVERT

6:02 Jadi keputusan hari ini adalah REVERT. Saya akan mengembalikan ParticleDB, kerana nasihat Jepsen adalah untuk menghentikan penggunaan, dan saya akan menampal kernel itu, kerana ia dilengkapi dengan jam randik. Dan itulah diff untuk hari ini. Saya Niko dari Axrisi. Gabungkan dengan bertanggungjawab.

Sumber

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas