पार्टिकलडीबीको जेप्सन रिपोर्ट, लेनोभोको फिंगरप्रिन्ट यूएसबी स्टिक, करपथीको ह्याकरट्यूब र लिनक्स टीसीपी बग CVE-2026-98432: एकै डेली डिफमा चार विकासकर्ताका कथाहरू

यो भिडियोले के समेट्छ

• जेप्सन, काइल किङ्स्बरीद्वारा सञ्चालित डाटाबेस परीक्षण प्रयोगशाला,ले अक्टोबर ३१, २०२६ मा पार्टिकलडीबीको विश्लेषण प्रकाशित गर्यो। पार्टिकलडीबी ओर्केसको एआई एजेन्टहरूको लागि लक्षित रस्ट डाटाबेस हो; ओर्केसले यस कार्यको लागि वित्तपोषण गर्यो। जेप्सनले १.१.४ देखि १.१.१८.११.rc-२२ सम्मका संस्करणहरू एकल नोडमा परीक्षण गर्यो र ९६ मुद्दाहरू प्रस्तुत गर्दछ, जसमध्ये अधिकांशलाई एउटा सर्भर, एउटा क्लाइन्ट र कुनै त्रुटिहरू आवश्यक थिएनन्। रिपोर्टमा उदाहरणहरू: WHERE 4 = 5 क्लजले प्राथमिक कुञ्जी ५ भएका पङ्क्तिहरू फर्कायो, WHERE TRUE ले केही पनि मिलाएन, र एउटा UPDATE ले एउटै प्राथमिक कुञ्जीका साथ धेरै पङ्क्तिहरू छोड्न सक्छ।
• पार्टिकलडीबीको गृहपृष्ठले 'पूर्ण एसीआईडी। १५९के टीपीएस।' र TLA+ प्रमाणको विज्ञापन गरेको थियो, तर जेप्सन भन्छ कि सहयोगको क्रममा कुनै TLA+ विनिर्देश उपलब्ध थिएन, र 'पूर्ण एसीआईडी' अन्तर्गतको पाठले स्न्यापसट आइसोलेसन भन्यो। जेप्सनले परीक्षण गरेको अन्तिम संस्करण १.१.१८.११.rc-२२ मा, पूर्वनिर्धारित occ लेनदेन मोडले सामान्य सञ्चालनको क्रममा कमिट गरिएका लेखहरू हरायो, र कडा सिरियलाइजेबल मोडले प्रक्रिया हत्या पछि हराएको अपडेटलाई अनुमति दियो। ओर्केस भन्छ कि संस्करण १.१.१९-rc.१३ ले सबै बाँकी मुद्दाहरू समाधान गर्दछ; जेप्सनले यसको मूल्याङ्कन गरेको छैन र प्रयोगकर्ताहरूलाई पार्टिकलडीबीको थप परिनियोजन रोक्न र अन्य डाटाबेसहरूमा माइग्रेट गर्न सिफारिस गर्दछ।
• सुरक्षा अनुसन्धानकर्ता शुशेङ लीले पत्ता लगाए कि लेनोभो थिङ्कप्लस एफयू१०० फिंगरप्रिन्ट यूएसबी स्टिक, एईएस-२५६ सँग हार्डवेयर एन्क्रिप्टेडको रूपमा मार्केट गरिएको, एक साधारण एसडी कार्ड समावेश गर्दथ्यो जसको डाटा इन्क्रिप्ट गरिएको थिएन; फिंगरप्रिन्ट रिडरले केवल यूएसबी जडान अन गर्दथ्यो। उनले अगस्ट २, २०२५ मा यसको रिपोर्ट गरे, र लेनोभोको पहिलो समाधान एसडी कार्डमा इपोक्सीको तह थियो। लेनोभोले यसको सल्लाहलाई उच्च मूल्याङ्कन गर्यो, र एफयू१०० र सम्बन्धित ड्राइभहरूको लागि पछिको समाधानले चीनमा सेवा लाइनमा कल गर्न, त्यसपछि टम्स हार्डवेयरका अनुसार प्रतिस्थापन वा अन-साइट फर्मवेयर अपग्रेड आवश्यक पर्दछ।
• टम्स हार्डवेयरद्वारा रिपोर्ट गरिएको फलो-अपमा, लीले ओपनएआईको कोडेक्सलाई आफ्नो रोजगारदाताको रिभर्स इन्जिनियरिङ उपकरणको साथ अन्य निर्माताहरूको यूएसबी संरक्षण सफ्टवेयर विरुद्ध प्रयोग गरे; नेटाकको लागि लगभग सात मिनेट लाग्यो किनभने यसमा एक निश्चित कुञ्जी निर्माण गरिएको थियो र पासवर्डलाई डायग्नोस्टिक लगहरूमा लेखिएको थियो, र अर्को विक्रेताको ड्राइभमा दुई लुकेका खाताहरू थिए जसलाई लीले ब्याकडोर भन्छन्। यूएसबी स्टिकमा डाटाको लागि, यन्त्रमा पुग्नु अघि तपाईंले नियन्त्रण गर्ने सफ्टवेयरसँग फाइलहरू इन्क्रिप्ट गर्नुहोस्।
• अक्टोबर ३१, २०२६ मा आन्द्रेज करपथीले ह्याकरट्यूबको वर्णन गरे, hackertube.org मा एक युट्युब-शैली साइट जुन उनको कोडिङ एजेन्टले लगभग दुई घण्टामा बनाएको थियो। एजेन्टले ह्याकर न्यूज कमेन्टहरू डाउनलोड गर्यो, स्प्याम फिल्टर गर्यो र युट्युब भिडियो सिफारिस गर्ने लगभग ४०,००० राख्यो, जसबाट २००७ देखि २०२६ सम्मका १५० विषयहरूमा ६,४५४ भिडियोहरू प्राप्त भए। साइटले अपलोड गरिएको थम्बनेलको सट्टा ५० प्रतिशतको बिन्दुमा फ्रेम देखाउँछ। करपथीले आफ्नो म्यानुअल चरणहरूलाई गुगल क्लाउड एपीआई कुञ्जी, सर्भर र डोमेनको रूपमा सूचीबद्ध गर्दछ।
• CVE-2026-98432 लिनक्स कर्नेलको IPv4 TCP ह्यान्डसेकमा use-after-free हो, CVSS ९.८ स्कोर गरिएको, लगइन बिना रिमोट पियरले पहुँच गर्न सक्छ। एरिक डुमाजेटको समाधानले अक्टोबर १ मा कमिटमा दुई साधारण kfree कलहरूलाई kfree_rcu ले प्रतिस्थापन गर्यो; फिक्स सहितको स्थिर कर्नेलहरू अक्टोबर ११ र १५ मा पठाइयो, र बग लिनक्स ४.४ देखि छ। रेड ह्याटले अक्टोबर ३० मा यसको मूल्याङ्कनलाई महत्त्वपूर्णबाट क्रिटिकलमा बढायो। उबन्टु र रेड ह्याट इन्टरप्राइज लिनक्सले शनिबार साँझ, अक्टोबर ३१ मा कुनै निश्चित कर्नेल सूचीबद्ध गरेनन्। तपाईंको वितरणको निश्चित कर्नेल स्थापना गर्नुहोस् र कन्टेनर होस्टहरू सहित रिबुट गर्नुहोस्, किनभने कन्टेनरहरूले होस्ट कर्नेल साझा गर्छन्।
• एन्थ्रोपिक भन्छ कि क्लाउडले मल्टिपाथ टीसीपी लिसनरको साथ लिनक्स सर्भरहरूको लागि काम गर्ने एक्सप्लोइट लेख्यो, र यसको प्रमाण अवधारणामा यसले कर्नेल पोइन्टर लीक गर्न ४८ मिनेट र शेल कमान्ड चलाउन थप पाँच मिनेट लिन्छ; एक्सप्लोइट प्रकाशित गरिएको छैन। गो सेक्युरिटी टीमले गो १.२४ देखि गो कार्यक्रमहरूले पूर्वनिर्धारित रूपमा मल्टिपाथ टीसीपी लिसनरहरू सक्षम पार्छन् र त्यो लिसनर बिनाका प्रणालीहरू समान आक्रमणहरूका लागि जोखिममा हुन सक्छन् भनी चेतावनी दिन्छ। रेड ह्याट र अल्मालिनक्सले फायरवाल नियम प्रकाशित गर्दछ जसले आईपी विकल्पहरू सहितको IPv4 TCP प्याकेटहरूलाई ड्रप गर्दछ, जसलाई रेड ह्याटले एक्सपोजर घटाउँछ र शोषणलाई पूर्ण रूपमा रोक्दैन भन्छ।

अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

चिसो खुल्ला: कहाँ क्लजले चार बराबर पाँच भन्छ?

0:00 पूर्ण एसीआईडी विज्ञापन गर्ने डाटाबेसले तपाईले लेखेको कुरा राख्नु पर्छ। जेप्सनले एउटा परीक्षण गर्यो र छयानब्बेवटा समस्याहरू फेला पारे, जसमा एक ‘where’ क्लज पनि समावेश थियो जसले चार बराबर पाँच भन्यो र तैपनि पङ्क्तिहरू फर्कायो। यस भिडियोमा, चार कथाहरू। जेप्सनले पूर्ण एसीआईडी दाबी गर्ने डाटाबेसमा के फेला पारे? इन्क्रिप्टेड भनी बेचेको फिंगरप्रिन्ट यूएसबी स्टिक भित्र के थियो? आन्द्रेज करपथीले एक बिहान के बनाए? र लिनक्स नेटवर्किङ बगको लागि तपाईले के प्याच गर्नुहुन्छ?

0:26 ती बगहरू मध्ये एक स्टपवाचको साथ आउँछ। म तपाईंलाई अन्तमा यसलाई पढेर सुनाउनेछु। आज आइतबार, नोभेम्बर एक तारिख हो, र यो द डेली डिफ हो। जेप्सन काइल किङ्स्बरीको परीक्षण प्रयोगशाला हो। यसले डाटाबेसलाई वास्तविक कार्यभार र त्रुटिहरू मार्फत चलाउँछ र वेबसाइटमा दिइएका ग्यारेन्टीहरू कायम छन् कि छैनन् भनेर जाँच गर्छ। एक निरीक्षकको कल्पना गर्नुहोस् जसले वास्तवमा फ्रिज खोल्छ।

कथा एक: जेप्सनले पार्टिकलडीबीमा के फेला पारे?

0:44 कथा एक। शनिबार जेप्सनले पार्टिकलडीबीमा आफ्नो रिपोर्ट प्रकाशित गर्यो, एआई एजेन्टहरूका लागि ओर्केसको रस्ट डाटाबेस। ओर्केसले यस कामको लागि भुक्तानी गर्यो। गृहपृष्ठमा पूर्ण एसीआईडी, प्रति सेकेन्ड एक सय उन्पन्न हजार लेनदेन भनिएको थियो। जेप्सनले पार्टिकलडीबीलाई यसको पहिलो एक बिन्दु एक निर्माणबाट ढिलो रिलीज उम्मेदवारसम्म परीक्षण गर्यो। साइटले यसलाई औपचारिक रूपमा प्रमाणित भन्यो, TLA प्लस प्रमाणको साथ। जेप्सन भन्छ कि कामको क्रममा कुनै TLA प्लस विनिर्देश उपलब्ध थिएन। पूर्ण एसीआईडी रेखा अन्तर्गत, सोही पृष्ठले स्न्यापसट आइसोलेसन भन्यो,

1:10 जुन पूर्ण रूपमा अलग छैन। बगहरू सूक्ष्म थिएनन्। अधिकांशलाई एउटा सर्भर, एउटा क्लाइन्ट र कुनै त्रुटिहरू आवश्यक थिएनन्। एक 'where' क्लज जसले चार बराबर पाँच भन्यो, पङ्क्तिहरू फर्कायो। एक 'where' क्लज जसले 'true' भन्यो, केही पनि मिलाएन। अपडेटहरूले एउटै प्राथमिक कुञ्जीका साथ दुई पङ्क्तिहरू छोडे। जेप्सनले परीक्षण गरेको अन्तिम रिलीज, रिलीज उम्मेदवार बाईस, धेरै सुरक्षित थियो।

1:36 त्यसको बावजुद, पूर्वनिर्धारित लेनदेन मोडले सामान्य सञ्चालनको क्रममा कमिट गरिएका लेखहरू हरायो। कडा मोडले अझै पनि प्रक्रिया हत्या पछि हराएको अपडेटलाई अनुमति दियो। ओर्केस भन्छ कि यसको अर्को रिलीजले यो सबै ठीक गर्दछ। जेप्सनले यसको परीक्षण गरेको छैन। त्यसोभए त्यो अन्तिम रिलीजमा पूर्ण एसीआईडीको प्रतिज्ञा गर्ने डाटाबेसले यसले पहिल्यै कमिट गरेको लेख हराउन सक्छ। गति, म मान्छु, उत्कृष्ट थियो। जेप्सनको सल्लाह स्पष्ट छ।

2:00 पार्टिकलडीबीको थप परिनियोजन रोक्नुहोस् र सकेसम्म चाँडो अर्को डाटाबेसमा माइग्रेट गर्नुहोस्। ओर्केसले वसन्त रिफ्याक्टरलाई दोष दिन्छ र भन्छ कि यसका आफ्नै ग्राहकहरू, पुरानो संस्करणमा, सम्भवतः अप्रभावित थिए। संग्रहित प्रक्रिया कागजातहरूले काइल किङ्स्बरीको लागि एउटा इमेल ठेगाना पनि आविष्कार गरे। कथा दुई। लेनोभो थिङ्कप्लस एफयू सय एउटा फिंगरप्रिन्ट यूएसबी स्टिक हो जसलाई एईएस दुई सय छपन्नसँग हार्डवेयर इन्क्रिप्टेडको रूपमा मार्केट गरिएको छ। सुरक्षा अनुसन्धानकर्ता शुशेङ लीले एउटा खोले र एक साधारण एसडी कार्ड फेला पारे,

कथा दुई: लेनोभो फिंगरप्रिन्ट यूएसबी स्टिक भित्र के थियो?

2:21 जसमा केही पनि इन्क्रिप्टेड थिएन। फिंगरप्रिन्ट रिडरले एउटा कुरा निर्णय गर्यो, कि स्टिक कम्प्युटरमा जडान भयो कि भएन। कार्डमा रहेका फाइलहरू कहिल्यै यसमा निर्भर थिएनन्। लीले अगस्ट २०२५ मा लेनोभोलाई यो त्रुटिको रिपोर्ट गरे। पहिलो समाधान एसडी कार्डमा इपोक्सीको तह थियो। त्यसोभए फाइलहरू कहिल्यै इन्क्रिप्टेड थिएनन्। प्रतिक्षा गर्नुहोस्, यो केवल एउटा एसडी कार्ड हो? सधैं यस्तै थियो। लेनोभोले आफ्नै सल्लाहलाई उच्च मूल्याङ्कन गर्यो।

2:47 पछिको समाधान, एफयू सय र तीन सम्बन्धित ड्राइभहरूका लागि, चीनमा सेवा लाइनमा कल गर्नु, त्यसपछि या त ड्राइभ फिर्ता पठाउनु वा अन-साइट फर्मवेयर अपग्रेड प्राप्त गर्नु हो। लेनोभोले पहिले ड्राइभ सफा गर्न सल्लाह दिन्छ। गत हप्ता लीले OpenAI को कोडक्स, साथै आफ्नो रोजगारदाताको रिभर्स इन्जिनियरिङ उपकरण, अन्य निर्माताहरूको USB संरक्षण सफ्टवेयरमा प्रयोग गरे। नेटाकको लागि लगभग सात मिनेट लाग्यो, किनभने यसमा एक निश्चित कुञ्जी निर्माण गरिएको थियो र पासवर्डलाई डायग्नोस्टिक लगहरूमा लेखिएको थियो।

3:09 एउटा ड्राइभमा दुई लुकेका खाताहरू थिए जसलाई लीले ब्याकडोर भन्छन्। यदि ड्राइभको सुरक्षा हार्डवेयर हो भने, यसलाई आफैं जाँच गर्नुहोस्। यन्त्रमा पुग्नु अघि तपाईले नियन्त्रण गर्ने सफ्टवेयरसँग फाइलहरू इन्क्रिप्ट गर्नुहोस्, र फिंगरप्रिन्टलाई सुविधाको रूपमा व्यवहार गर्नुहोस्। कथा तीन, हल्का वाला। शुक्रबार राति आन्द्रेज करपथीले युट्युब खोले, उनले 'एनशिटिफाइड वाल अफ स्लोप' भनेको देखे, र शनिबार बिहान आफ्नो कोडिङ एजेन्टलाई ह्याकर न्यूजले सिफारिस गर्ने जेसुकैबाट प्रतिस्थापन बनाउन भने।

कथा तीन: करपथीले एक बिहान के बनाए?

3:31 एजेन्टले ह्याकर न्यूज कमेन्टहरू डाउनलोड गर्यो, स्प्याम फिल्टर गर्यो, र युट्युब भिडियो सिफारिस गर्ने लगभग चालीस हजार राख्यो। त्यसपछि छवटा हजार चार सय चौपन्न भिडियोहरू बाँकी रहे, दुई हजार सात देखि अहिलेसम्म, एक सय पचास विषयहरूमा। साइट hackertube डट ओआरजी हो। यसले अपलोडरले छनोट गरेको थम्बनेलको सट्टा आधा बाटोको फ्रेम देखाउँछ, जसले अलि पीडा दिन्छ। करपथी भन्छन् कि सम्पूर्ण निर्माणमा लगभग दुई घण्टा लाग्यो।

3:58 उनको एक मात्र म्यानुअल चरणहरू गुगल एपीआई कुञ्जी, एउटा सर्भर र एउटा डोमेन थिए। अक्टोबर बाह्रमा मैले तपाईंलाई भनेको थिएँ कि करपथीले पहुँच र कार्यहरूले मानिसहरूले यी उपकरणहरूलाई कसरी बुझ्छन् भन्नेमा अन्तर सिर्जना गर्छ भन्ने सोच्छन्। दुई घण्टाको काम एक राम्रो डेटा बिन्दु हो। कथा चार, जसमा कार्य गर्नुपर्छ। CVE दुई हजार छब्बीस, अठ्ठाईस सय तेत्तीस सय बत्तीस लिनक्स कर्नेलको आईपीभी चार टीसीपी ह्यान्डसेकमा use-after-free हो, दस मध्ये नौ बिन्दु आठ स्कोर गरिएको। कुनै लगइन नभएको रिमोट पियरले यसलाई पहुँच गर्न सक्छ। एरिक डुमाजेटले अक्टोबर एकमा समाधान लेखे। समाधान अक्टोबर एघार र पन्ध्रमा स्थिर कर्नेलहरूमा पुग्यो,

4:21 र बग लिनक्स चार बिन्दु चारमा फिर्ता जान्छ।

कथा चार: CVE-2026-98432 को लागि तपाईले के प्याच गर्नुहुन्छ?

4:23 रेड ह्याटले अक्टोबर तीसमा यसको मूल्याङ्कनलाई महत्त्वपूर्णबाट क्रिटिकलमा बढायो। शनिबार साँझ, उबन्टु र रेड ह्याट इन्टरप्राइज लिनक्सले अझै कुनै निश्चित कर्नेल सूचीबद्ध गरेनन्। एन्थ्रोपिक भन्छ कि क्लाउडले मल्टिपाथ टीसीपी लिसनर भएको सर्भरहरूको लागि काम गर्ने एक्सप्लोइट लेख्यो, र गो प्रोग्रामहरूले गो एक बिन्दु चौबीस देखि पूर्वनिर्धारित रूपमा ती खोलेका छन्। गो टोलीले त्यो लिसनर बिनाका प्रणालीहरू समान आक्रमणहरूका लागि जोखिममा हुन सक्छन् भनी चेतावनी दिन्छ, र भन्छ कि सबै भन्दा राम्रो समाधान प्याच गरिएको कर्नेल हो। यदि तपाईंको वितरणमा अझै कुनै निश्चित कर्नेल छैन भने, रेड ह्याट र अल्मालिनक्सले एक फायरवाल नियम प्रकाशित गर्दछ जसले आईपी विकल्पहरू बोकेका आईपीभी चार टीसीपी प्याकेटहरूलाई ड्रप गर्दछ। रेड ह्याट भन्छ कि यसले जोखिम कम गर्छ र यसलाई पूर्ण रूपमा रोक्न सक्दैन। त्यस पछि, तपाईं पर्खनुहोस्। आज के गर्ने।

4:52 तपाईंको वितरणको निश्चित कर्नेल स्थापना गर्नुहोस् र रिबुट गर्नुहोस्, कन्टेनर होस्टहरू र कुबरनेट्स नोडहरूमा पनि, किनभने कन्टेनरहरूले होस्ट कर्नेल साझा गर्छन्। डेबियन, सुसे र अमेजन लिनक्समा पहिले नै समाधानहरू छन्। यदि तपाईं अहिले प्याच गर्न सक्नुहुन्न भने, मल्टिपाथ टीसीपी लिसनरहरू चलाउने होस्टहरूबाट सुरु गर्नुहोस्। अब मैले प्रतिज्ञा गरेको स्टपवाच। एन्थ्रोपिकको आफ्नै प्रमाण अवधारणामा, यसले कर्नेल पोइन्टर लीक गर्न अठ्चालिस मिनेट लिन्छ, त्यसपछि शेल कमान्ड चलाउन थप पाँच मिनेट लाग्छ। एन्थ्रोपिकले एक्सप्लोइट प्रकाशित गरेको छैन। यदि तपाईं मलाई सुन्नु भन्दा यो पढ्न रुचाउनुहुन्छ भने, डिफ हरेक बिहान तपाईंको इनबक्समा आउँछ,

5:23 द डेली डिफ डट देवमा निःशुल्क, लिङ्क तल। त्यसैले आजको निर्णय REVERT हो। म पार्टिकलडीबीलाई REVERT गर्नेछु, किनभने जेप्सनको सल्लाह परिनियोजन रोक्न हो, र म त्यो कर्नेल प्याच गर्नेछु, किनभने यो स्टपवाचको साथ आउँछ। र आजको लागि यति नै डिफ हो। म एक्सिसिको निको हुँ। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्।

स्टपवाचमा फर्कनुहोस्: एक्सप्लोइटले कति समय लियो?

5:44 पूर्ण एसीआईडीको विज्ञापन गर्ने डाटाबेसले तपाईले लेखेको कुरा राख्नु पर्छ। जेप्सनले एउटा परीक्षण गर्यो र छयानब्बेवटा समस्याहरू फेला पारे, जसमा एक 'where' क्लज पनि समावेश थियो जसले चार बराबर पाँच भन्यो र तैपनि पङ्क्तिहरू फर्कायो। यस भिडियोमा, चार कथाहरू। के जेप्सनले पूर्ण एसीआईडी दाबी गर्ने डाटाबेसमा फेला पारे?

निर्णय: REVERT

6:02 के इन्क्रिप्टेड भनी बेचेको फिंगरप्रिन्ट यूएसबी स्टिक भित्र थियो? के आन्द्रेज करपथीले एक बिहान बनाए? र लिनक्स नेटवर्किङ बगको लागि तपाईले के प्याच गर्नुहुन्छ? ती बगहरू मध्ये एक स्टपवाचको साथ आउँछ। म तपाईंलाई अन्तमा यसलाई पढेर सुनाउनेछु। आज आइतबार, नोभेम्बर एक तारिख हो, र यो द डेली डिफ हो।

स्रोतहरू

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas