# Jepsen-rapport van ParticleDB, Lenovo's USB-vingerafdrukstick, Karpathy's HackerTube en de Linux TCP-bug CVE-2026-98432: vier ontwikkelaarsverhalen in één Daily Diff

Published: 2026-11-02

Vier ontwikkelaarsverhalen, elk toegeschreven aan zijn bron. Jepsens analyse van de ParticleDB-database vond 96 problemen, waaronder verloren vastgelegde schrijfbewerkingen in de standaard transactiemodus van de laatst geteste release, en beveelt aan de implementatie te stoppen; de test werd gefinancierd door Orkes, dat zegt dat de volgende release alles oplost. Een Lenovo ThinkPlus FU100 USB-vingerafdrukstick, verkocht als AES-256 versleuteld, bevatte een gewone SD-kaart zonder enige versleuteling, volgens onderzoeker Xusheng Li zoals gemeld door Tom's Hardware. Andrej Karpathy bouwde HackerTube, een site met 6.454 YouTube-video's aanbevolen in Hacker News-commentaren, in ongeveer twee uur. En Linux-kernel CVE-2026-98432, een IPv4 TCP use-after-free met een score van 9,8, heeft een gepatchte kernel en een reboot nodig. Het oordeel is REVERT.

Canonical: https://thedailydiff.dev/nl/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Wat deze video behandelt

- Jepsen, het databasetestlaboratorium van Kyle Kingsbury, publiceerde op 31 oktober 2026 zijn analyse van ParticleDB. ParticleDB is een Rust-database van Orkes gericht op AI-agenten; Orkes financierde het werk. Jepsen testte versies 1.1.4 tot en met 1.1.18.11.rc-22 op één node en presenteert 96 problemen, waarvan de meeste één server, één client en geen fouten nodig hadden. Voorbeelden in het rapport: een WHERE 4 = 5-clausule retourneerde rijen met primaire sleutel 5, WHERE TRUE kwam met niets overeen, en een UPDATE kon meerdere rijen met dezelfde primaire sleutel achterlaten.
- De ParticleDB-homepage adverteerde met 'Full ACID. 159K TPS.' en een TLA+-bewijs, maar Jepsen zegt dat er geen TLA+-specificatie beschikbaar was tijdens de samenwerking, en de tekst onder 'Full ACID' sprak van snapshot-isolatie. In 1.1.18.11.rc-22, de laatste versie die Jepsen testte, verloor de standaard occ-transactiemodus nog steeds vastgelegde schrijfbewerkingen tijdens normale werking, en de strengste serialiseerbare modus stond Lost Update toe na proces-kills. Orkes zegt dat versie 1.1.19-rc.13 alle resterende problemen oplost; Jepsen heeft deze niet geëvalueerd en beveelt aan dat gebruikers verdere implementatie van ParticleDB stopzetten en migreren naar andere databases.
- Beveiligingsonderzoeker Xusheng Li ontdekte dat de Lenovo ThinkPlus FU100 USB-vingerafdrukstick, op de markt gebracht als hardwarematig versleuteld met AES-256, een gewone SD-kaart bevatte waarvan de gegevens niet waren versleuteld; de vingerafdruklezer schakelde alleen de USB-verbinding in. Hij meldde dit op 2 augustus 2025, en Lenovo's eerste oplossing was een laag epoxy over de SD-kaart. Lenovo beoordeelde haar advies als hoog, en een latere oplossing voor de FU100 en gerelateerde schijven vereist het bellen van een servicelijn in China, waarna een vervanging of een on-site firmware-upgrade volgt, volgens Tom's Hardware.
- In een vervolg, zoals gerapporteerd door Tom's Hardware, gebruikte Li OpenAI's Codex met de reverse engineering-tool van zijn werkgever tegen de USB-beveiligingssoftware van andere fabrikanten; die van Netac duurde ongeveer zeven minuten omdat deze een vaste sleutel ingebouwd had en het wachtwoord naar diagnostische logs schreef, en de schijf van een andere leverancier had twee verborgen accounts die Li backdoors noemt. Voor gegevens op een USB-stick, versleutel bestanden met software die u beheert voordat ze het apparaat bereiken.
- Op 31 oktober 2026 beschreef Andrej Karpathy HackerTube, een YouTube-achtige site op hackertube.org, gebouwd met zijn coderingsagent in ongeveer twee uur. De agent downloadde Hacker News-commentaren, filterde spam en bewaarde ongeveer 40.000 commentaren die een YouTube-video aanbevelen, wat resulteerde in 6.454 video's van 2007 tot 2026 over 150 onderwerpen. De site toont het frame op de 50 procent markering in plaats van de geüploade thumbnail. Karpathy somt zijn handmatige stappen op als een Google Cloud API-sleutel, een server en een domein.
- CVE-2026-98432 is een use-after-free in de IPv4 TCP-handshake van de Linux-kernel, met een CVSS-score van 9,8, bereikbaar door een externe peer zonder login. Eric Dumazets fix verving twee gewone kfree-aanroepen door kfree\_rcu in een commit van 1 oktober; stabiele kernels met de fix werden op 11 en 15 oktober geleverd, en de bug dateert van Linux 4.4. Red Hat verhoogde zijn classificatie van Belangrijk naar Kritiek op 30 oktober. Ubuntu en Red Hat Enterprise Linux vermeldden op zaterdagavond 31 oktober nog geen gefixte kernel. Installeer de gefixte kernel van uw distributie en herstart, inclusief containerhosts, omdat containers de hostkernel delen.
- Anthropic zegt dat Claude een werkende exploit schreef voor Linux-servers met een multipath TCP-luisteraar, en dat in zijn proof of concept het 48 minuten duurt om een kernelpointer te lekken en nog vijf minuten om een shell-commando uit te voeren; de exploit is niet gepubliceerd. Het Go Security Team merkt op dat Go-programma's multipath TCP-luisteraars standaard inschakelen sinds Go 1.24 en waarschuwt dat systemen zonder die luisteraar kwetsbaar kunnen zijn voor vergelijkbare aanvallen. Red Hat en AlmaLinux publiceren een firewallregel die IPv4 TCP-pakketten met IP-opties dropt, wat volgens Red Hat de blootstelling vermindert en exploitatie niet volledig voorkomt.

## Vragen en antwoorden

### Wat vond Jepsen in de ParticleDB-database, en wat beveelt het aan?

Jepsens analyse van ParticleDB, gepubliceerd op 31 oktober 2026 en gefinancierd door Orkes, presenteert 96 problemen in versies 1.1.4 tot en met 1.1.18.11.rc-22, inclusief WHERE 4 = 5 dat rijen retourneert. In de laatst geteste release verloor de standaard transactiemodus nog steeds vastgelegde schrijfbewerkingen tijdens normale werking. Jepsen beveelt gebruikers aan verdere implementatie van ParticleDB stop te zetten en te migreren naar andere databases.

### Was Lenovo's ThinkPlus FU100 vingerafdruk USB-stick echt AES-256 versleuteld?

Volgens onderzoeker Xusheng Li, zoals gerapporteerd door Tom's Hardware en HackingPassion, werd de FU100 op de markt gebracht als AES-256 hardwarematig versleuteld, maar bevatte deze een gewone SD-kaart zonder enige versleuteling. De vingerafdruklezer schakelde alleen de USB-verbinding in. Lenovo's eerste fix was epoxy over de kaart, en een latere fix vereist het bellen van een servicelijn in China voor een vervanging of een on-site firmware-upgrade.

### Wat is HackerTube en hoe bouwde Andrej Karpathy het?

HackerTube op hackertube.org is een YouTube-achtige site met 6.454 video's aanbevolen in Hacker News-commentaren van 2007 tot 2026, over 150 onderwerpen. Karpathy's post zegt dat zijn coderingsagent de commentaren downloadde, spam filterde en ongeveer 40.000 video's bewaarde die een video aanbeveelden, en dat de bouw ongeveer twee uur duurt. Zijn handmatige stappen waren een Google Cloud API-sleutel, een server en een domein.

### Hoe los ik Linux-kernel CVE-2026-98432 op, en welke distributies hebben een gepatchte kernel?

Installeer de gefixte kernel van uw distributie en herstart, inclusief containerhosts en Kubernetes-nodes, aangezien containers de hostkernel delen. De kwetsbaarheid is een IPv4 TCP use-after-free met een CVSS-score van 9,8, upstream gefixt in stabiele kernels op 11 en 15 oktober. Volgens Atlas op 31 oktober hadden Debian, SUSE en Amazon Linux fixes, terwijl Ubuntu en Red Hat Enterprise Linux dat niet hadden; Red Hat publiceert een firewallmitigatie die de blootstelling vermindert.

### Wat was The Daily Diff's oordeel over deze vier verhalen?

Het oordeel van The Daily Diff was REVERT. Jepsens advies over ParticleDB is om verdere implementatie stop te zetten en te migreren, en de Linux CVE-2026-98432 kernelbug heeft een gepatchte kernel en een reboot nodig, waarbij Anthropic's eigen proof of concept 48 minuten nodig heeft om een kernelpointer te lekken en nog vijf minuten om een shell-commando uit te voeren.

## Hoofdstukken

- 0:00 Korte introductie: hoe zegt een where-clausule dat vier gelijk is aan vijf?
- 0:44 Verhaal één: wat vond Jepsen in ParticleDB?
- 2:17 Verhaal twee: wat zat er in de Lenovo vingerafdruk USB-stick?
- 3:31 Verhaal drie: wat bouwde Karpathy op één ochtend?
- 4:22 Verhaal vier: wat patch je voor CVE-2026-98432?
- 5:43 Terug naar de stopwatch: hoe lang duurde de exploit?
- 6:02 Oordeel: REVERT

## Vertaald transcript

Vertaald vanuit de originele Engelse gesproken tekst. Beschikbare audio en ondertiteling worden beheerd door YouTube.

### Korte introductie: hoe zegt een where-clausule dat vier gelijk is aan vijf?

0:00 Een database die adverteert met Full ACID hoort te bewaren wat je schrijft. Jepsen testte er een en vond zesennegentig problemen, waaronder een where-clausule die zei vier is gelijk aan vijf en toch rijen retourneerde. In deze video, vier verhalen. Wat vond Jepsen in een database die Full ACID claimde? Wat zat er in een vingerafdruk USB-stick die als versleuteld werd verkocht? Wat bouwde Andrej Karpathy op één ochtend? En wat patch je voor een Linux netwerkbug?

0:26 Een van die bugs wordt geleverd met een stopwatch. Ik zal het je aan het einde voorlezen. Het is zondag 1 november, en dit is The Daily Diff. Jepsen is het testlaboratorium van Kyle Kingsbury. Het test een database met echte werkbelastingen en storingen en controleert of de garanties op de website standhouden. Denk aan een inspecteur die de koelkast daadwerkelijk opent.

### Verhaal één: wat vond Jepsen in ParticleDB?

0:44 Verhaal één. Zaterdag publiceerde Jepsen zijn rapport over ParticleDB, een Rust-database van Orkes gericht op AI-agenten. Orkes betaalde voor het werk. De homepage zei Full ACID, honderdnegenenvijftigduizend transacties per seconde. Jepsen testte ParticleDB van de eerste 1.1-build tot een late releasekandidaat. De site noemde het formeel bewezen, met een TLA+-bewijs. Jepsen zegt dat er geen TLA+-specificatie beschikbaar was tijdens het werk.

1:10 Onder de regel Full ACID stond op dezelfde pagina snapshot-isolatie, wat niet volledig geïsoleerd is. De bugs waren niet subtiel. De meeste hadden één server, één client en geen geïnjecteerde fouten nodig. Een where-clausule die vier gelijk aan vijf zei, retourneerde rijen. Een where-clausule die waar zei, kwam met niets overeen. Updates lieten twee rijen met dezelfde primaire sleutel achter. De laatste release die Jepsen testte, releasekandidaat tweeëntwintig,

1:36 was veel veiliger. Desondanks verloor de standaard transactiemodus vastgelegde schrijfbewerkingen tijdens normale werking. De strengste modus stond nog steeds verloren updates toe na een proceskill. Orkes zegt dat de volgende release dit allemaal oplost. Jepsen heeft het niet getest. Dus in die laatste release kon een database die Full ACID beloofde, een schrijfbewerking verliezen die al was vastgelegd. De snelheid was, neem ik aan, uitstekend.

2:00 Jepsens advies is duidelijk. Stop verdere implementatie van ParticleDB en migreer zo snel mogelijk naar een andere database. Orkes wijt het aan een voorjaarscorrector en zegt dat zijn eigen klanten, op een oudere versie, waarschijnlijk niet werden getroffen. De documentatie van de opgeslagen procedures verzon zelfs een e-mailadres voor Kyle Kingsbury. Verhaal twee. De Lenovo ThinkPlus FU honderd is een vingerafdruk USB-stick

### Verhaal twee: wat zat er in de Lenovo vingerafdruk USB-stick?

2:21 op de markt gebracht als hardwarematig versleuteld met AES tweehonderdzesenvijftig. Beveiligingsonderzoeker Xusheng Li haalde er een uit elkaar en vond een gewone SD-kaart, met niets erop versleuteld. De vingerafdruklezer bepaalde één ding, of de stick verbinding maakte met de computer. De bestanden op de kaart waren er nooit afhankelijk van. Li meldde de fout aan Lenovo in augustus tweeduizendvijfentwintig. De eerste fix was een laag epoxy over de SD-kaart. De bestanden waren dus nooit versleuteld.

2:47 Wacht, het is gewoon een SD-kaart? Altijd al geweest. Lenovo beoordeelde zijn eigen advies als hoog. De latere fix, voor de FU honderd en drie gerelateerde schijven, betekent het bellen van een servicelijn in China, waarna de schijf teruggestuurd moet worden of een firmware-upgrade ter plaatse moet worden uitgevoerd. Lenovo adviseert de schijf eerst te wissen. Vorige week richtte Li OpenAI's Codex, plus de reverse engineering

3:09 tool van zijn werkgever, op de USB-beveiligingssoftware van andere fabrikanten. Die van Netac duurde ongeveer zeven minuten, omdat deze een vaste sleutel ingebouwd had en het wachtwoord naar diagnostische logs schreef. Eén schijf had twee verborgen accounts die Li backdoors noemt. Als de beveiliging van een schijf de hardware is, controleer deze dan zelf. Versleutel de bestanden met software die je beheert voordat ze de stick bereiken, en beschouw de vingerafdruk als een gemak.

### Verhaal drie: wat bouwde Karpathy op één ochtend?

3:31 Verhaal drie, de lichte. Vrijdagavond opende Andrej Karpathy YouTube, zag wat hij een vervuilde muur van rommel noemde, en vertelde zijn coderingsagent zaterdagochtend om een vervanging te bouwen van wat Hacker News ook maar aanbeveelt. De agent downloadde de Hacker News-commentaren, filterde spam eruit, en bewaarde ongeveer veertigduizend commentaren die een YouTube-video aanbevelen. Dat liet zesduizendvierhonderdvierenenvijftig video's over, van tweeduizendzeven tot nu, in honderdvijftig onderwerpen.

3:58 De site is hackertube punt org. Het toont het frame van halverwege in plaats van de thumbnail die de uploader koos, wat een beetje prikt. Karpathy zegt dat de hele bouw ongeveer twee uur duurde. Zijn enige handmatige stappen waren een Google API-sleutel, een server en een domein. Op twaalf oktober vertelde ik je dat Karpathy denkt dat toegang en taken een kloof creëren in hoe mensen deze tools begrijpen. Twee uur werk is een degelijk datapunt.

4:21 Verhaal vier, degene om op te reageren.

### Verhaal vier: wat patch je voor CVE-2026-98432?

4:23 CVE tweeduizendzesentwintig, achtennegentig vierhonderd tweeëndertig is een use-after-free in de IPv4 TCP-handshake van de Linux-kernel, gescoord negen punt acht van de tien. Een externe peer zonder login kan deze bereiken. Eric Dumazet schreef de fix op 1 oktober. De fix bereikte stabiele kernels op 11 en 15 oktober, en de bug gaat terug tot Linux vier punt vier. Red Hat verhoogde zijn rating van belangrijk naar kritiek op 30 oktober. Op zaterdagavond vermeldden Ubuntu en Red Hat Enterprise Linux nog steeds geen gefixte

4:52 kernel. Anthropic zegt dat Claude een werkende exploit schreef voor servers met een multipath TCP luisteraar, en Go-programma's hebben die standaard geopend sinds Go één punt vierentwintig. Het Go-team waarschuwt dat systemen zonder die luisteraar kwetsbaar kunnen zijn voor vergelijkbare aanvallen, en zegt dat de beste oplossing een gepatchte kernel is. Als uw distributie nog geen gefixte kernel heeft, publiceren Red Hat en AlmaLinux een firewallregel die IPv4 TCP-pakketten met IP-opties dropt. Red Hat zegt dat het de blootstelling vermindert en het niet volledig kan voorkomen.

5:23 Daarna wacht je. Wat te doen vandaag. Installeer de gefixte kernel van uw distributie en herstart, ook op containerhosts en Kubernetes-nodes, omdat containers de hostkernel delen. Debian, Suse en Amazon Linux hebben al fixes. Als je nog niet kunt patchen, begin dan met hosts die multipath TCP-luisteraars uitvoeren. Nu de stopwatch die ik beloofde.

### Terug naar de stopwatch: hoe lang duurde de exploit?

5:44 In Anthropic's eigen proof of concept duurt het achtentwintig minuten om een kernelpointer te lekken, daarna nog vijf minuten om een shell-commando uit te voeren. Anthropic heeft de exploit niet gepubliceerd. Als u dit liever leest dan mij hoort zeggen, verschijnt de diff elke ochtend in uw inbox, gratis op the daily diff dot dev, link hieronder.

### Oordeel: REVERT

6:02 Dus het oordeel van vandaag is REVERT. Ik zou ParticleDB terugdraaien, omdat Jepsens advies is om de implementatie te stoppen, en ik zou die kernel patchen, omdat het met een stopwatch komt. En dat is de diff voor vandaag. Ik ben Niko van Axrisi. Voeg verantwoordelijk samen.

## Bronnen

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas