ParticleDBs Jepsen-rapport, Lenovos fingeravtrykk-USB-pinne, Karpathys HackerTube og Linux TCP-feilen CVE-2026-98432: fire utviklerhistorier i én daglig "diff"

Hva denne videoen dekker

• Jepsen, laboratoriet for databasetesting drevet av Kyle Kingsbury, publiserte sin analyse av ParticleDB den 31. oktober 2026. ParticleDB er en Rust-database fra Orkes rettet mot AI-agenter; Orkes finansierte arbeidet. Jepsen testet versjonene 1.1.4 til 1.1.18.11.rc-22 på en enkelt node og presenterer 96 problemer, hvorav de fleste trengte én server, én klient og ingen feil. Eksempler i rapporten: en WHERE 4 = 5-klausul returnerte rader med primærnøkkel 5, WHERE TRUE matchet ingenting, og en UPDATE kunne etterlate flere rader med samme primærnøkkel.
• ParticleDBs hjemmeside annonserte "Full ACID. 159K TPS." og et TLA+-bevis, men Jepsen sier at ingen TLA+-spesifikasjon var tilgjengelig under samarbeidet, og teksten under "Full ACID" sa snapshot-isolering. I 1.1.18.11.rc-22, den siste versjonen Jepsen testet, mistet standard occ-transaksjonsmodus fortsatt bekreftede skriveoperasjoner under normal drift, og den strengeste serialiserbare modusen tillot Lost Update etter prosessdrap. Orkes sier at versjon 1.1.19-rc.13 løser alle gjenværende problemer; Jepsen har ikke evaluert den og anbefaler at brukere stopper ytterligere distribusjon av ParticleDB og migrerer til andre databaser.
• Sikkerhetsforsker Xusheng Li fant at Lenovo ThinkPlus FU100 fingeravtrykk-USB-pinnen, markedsført som maskinvarekryptert med AES-256, inneholdt et vanlig SD-kort hvis data ikke var kryptert; fingeravtrykkleseren slo bare på USB-tilkoblingen. Han rapporterte det 2. august 2025, og Lenovos første fiks var et lag med epoksy over SD-kortet. Lenovo vurderte sin advarsel som høy, og en senere fiks for FU100 og relaterte stasjoner krever at man ringer en servicelinje i Kina, deretter en erstatning eller en fastvareoppgradering på stedet, ifølge Tom's Hardware.
• I en oppfølging rapportert av Tom's Hardware, brukte Li OpenAIs Codex med sin arbeidsgivers omvendt konstruksjonsverktøy mot andre produsenters USB-beskyttelsesprogramvare; Netacs tok omtrent syv minutter fordi den hadde en fast nøkkel innebygd og skrev passordet til diagnostiske logger, og en annen leverandørs stasjon hadde to skjulte kontoer som Li kaller bakdører. For data på en USB-pinne, krypter filer med programvare du kontrollerer før de når enheten.
• Den 31. oktober 2026 beskrev Andrej Karpathy HackerTube, et YouTube-lignende nettsted på hackertube.org bygget med sin kodeagent på omtrent to timer. Agenten lastet ned Hacker News-kommentarer, filtrerte spam og beholdt omtrent 40 000 som anbefalte en YouTube-video, noe som ga 6 454 videoer fra 2007 til 2026 på tvers av 150 emner. Nettstedet viser rammen ved 50-prosentmerket i stedet for den opplastede miniatyrbildet. Karpathy lister opp sine manuelle trinn som en Google Cloud API-nøkkel, en server og et domene.
• CVE-2026-98432 er en use-after-free i Linux-kjernens IPv4 TCP-håndtrykk, scoret CVSS 9.8, tilgjengelig av en ekstern "peer" uten innlogging. Eric Dumazets fiks erstattet to vanlige kfree-kall med kfree_rcu i en "commit" datert 1. oktober; stabile kjerner med fiksen ble sendt ut 11. og 15. oktober, og feilen går tilbake til Linux 4.4. Red Hat hevet sin vurdering fra Viktig til Kritisk 30. oktober. Ubuntu og Red Hat Enterprise Linux listet ingen fiksede kjerner lørdag kveld, 31. oktober. Installer distribusjonens fiksede kjerne og start på nytt, inkludert "container hosts", fordi containere deler vertskjernen.
• Anthropic sier at Claude skrev en fungerende "exploit" for Linux-servere med en flerbane TCP-lytter, og at i deres "proof of concept" tar det 48 minutter å lekke en kjernepeker og ytterligere fem minutter å kjøre en shell-kommando; "exploiten" er ikke publisert. Go Security Team bemerker at Go-programmer aktiverer flerbane TCP-lyttere som standard siden Go 1.24 og advarer om at systemer uten denne lytteren kan være sårbare for lignende angrep. Red Hat og AlmaLinux publiserer en brannmurregel som slipper IPv4 TCP-pakker med IP-opsjoner, noe Red Hat sier reduserer eksponeringen og ikke fullt ut forhindrer utnyttelse.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Kald åpning: hvordan sier en "where"-klausul "fire er lik fem"?

0:00 En database som annonserer Full ACID skal beholde det du skriver. Jepsen testet en og fant nittiseks problemer, inkludert en "where"-klausul som sa "fire er lik fem" og fortsatt returnerte rader. I denne videoen, fire historier. Hva fant Jepsen i en database som hevdet Full ACID? Hva var inne i en fingeravtrykk-USB-pinne som ble solgt som kryptert? Hva bygde Andrej Karpathy på en morgen? Og hva lapper du for en Linux-nettverksfeil?

0:26 En av disse feilene kommer med en stoppeklokke. Jeg skal lese det for deg på slutten. Det er søndag 1. november, og dette er The Daily Diff. Jepsen er Kyle Kingsburys testlaboratorium. Den kjører en database gjennom virkelige arbeidsbelastninger og feil og sjekker om garantiene på nettstedet holder. Tenk deg en inspektør som faktisk åpner kjøleskapet.

Historie én: hva fant Jepsen i ParticleDB?

0:44 Historie én. På lørdag publiserte Jepsen sin rapport om ParticleDB, en Rust-database fra Orkes rettet mot AI-agenter. Orkes betalte for arbeidet. Hjemmesiden sa Full ACID, hundre og femtini tusen transaksjoner per sekund. Jepsen testet ParticleDB fra sin første 1.1-bygging til en sen utgivelseskandidat. Nettstedet kalte det formelt bevist, med et TLA+-bevis. Jepsen sier at ingen TLA+-spesifikasjon var tilgjengelig under arbeidet.

1:10 Under Full ACID-linjen, sa samme side snapshot-isolering, som ikke er fullt isolert. Feilene var ikke subtile. De fleste trengte én server, én klient og ingen feil injisert. En "where"-klausul som sa "fire er lik fem" returnerte rader. En "where"-klausul som sa "true" matchet ingenting. Oppdateringer etterlot to rader med samme primærnøkkel. Den siste utgivelsen Jepsen testet, utgivelseskandidat tjueto,

1:36 var mye tryggere. Likevel mistet standard transaksjonsmodus bekreftede skriveoperasjoner under normal drift. Den strengeste modusen tillot fortsatt tapte oppdateringer etter en prosessdrap. Orkes sier at deres neste utgivelse fikser alt dette. Jepsen har ikke testet den. Så i den siste utgivelsen kunne en database som lovet Full ACID miste en skriving den allerede hadde bekreftet. Hastigheten, antar jeg, var utmerket.

2:00 Jepsens råd er enkelt. Stopp videre distribusjon av ParticleDB og migrer til en annen database så snart som mulig. Orkes skylder på en refaktorering om våren og sier at deres egne kunder, på en eldre versjon, sannsynligvis ikke ble berørt. Dokumentene for lagrede prosedyrer fant til og med opp en e-postadresse for Kyle Kingsbury. Historie to. Lenovo ThinkPlus FU hundre er en fingeravtrykk-USB-pinne

Historie to: hva var inne i Lenovos fingeravtrykk-USB-pinne?

2:21 markedsført som maskinvarekryptert med AES to femti seks. Sikkerhetsforsker Xusheng Li demonterte en og fant et vanlig SD-kort, uten kryptering. Fingeravtrykkleseren bestemte én ting, om pinnen var koblet til datamaskinen. Filene på kortet var aldri avhengig av det. Li rapporterte feilen til Lenovo i august tjue tjuefem. Den første fiksen var et lag med epoksy over SD-kortet. Så filene ble aldri kryptert.

2:47 Vent, er det bare et SD-kort? Det har alltid vært det. Lenovo vurderte sin egen advarsel som høy. Den senere fiksen, for FU hundre og tre relaterte stasjoner, innebærer å ringe en servicelinje i Kina, deretter enten sende stasjonen tilbake eller få en fastvareoppgradering på stedet. Lenovo anbefaler å tørke disken først. Forrige uke rettet Li OpenAIs Codex, pluss sin arbeidsgivers omvendt konstruksjonsverktøy,

3:09 mot andre produsenters USB-beskyttelsesprogramvare. Netacs tok omtrent syv minutter, fordi den hadde en fast nøkkel innebygd og skrev passordet til diagnostiske logger. Én stasjon hadde to skjulte kontoer som Li kaller bakdører. Hvis en stasjons sikkerhet er maskinvaren, sjekk den selv. Krypter filene med programvare du kontrollerer før de når stikken, og behandle fingeravtrykket som en bekvemmelighet.

Historie tre: hva bygde Karpathy på en morgen?

3:31 Historie tre, den lette. Fredag kveld åpnet Andrej Karpathy YouTube, så det han kalte en "enshittified wall of slop", og lørdag morgen ba han sin kodeagent om å bygge en erstatning fra det Hacker News anbefaler. Agenten lastet ned Hacker News-kommentarene, filtrerte ut spam, og beholdt omtrent førti tusen som anbefalte en YouTube-video. Det etterlot seks tusen fire hundre og femtifire videoer, fra to tusen syv til nå, i hundre og femti emner.

3:58 Nettstedet er hackertube.org. Det viser rammen fra halvveis i videoen i stedet for miniatyrbildet opplasteren valgte, noe som svir litt. Karpathy sier at hele byggingen tok omtrent to timer. Hans eneste manuelle trinn var en Google API-nøkkel, en server og et domene. Den tolvte oktober fortalte jeg deg at Karpathy mener tilgang og oppgaver skaper et gap i hvordan folk forstår disse verktøyene. To timers arbeid er et anstendig datapunkt.

4:21 Historie fire, den man skal handle på.

Historie fire: hva lapper du for CVE-2026-98432?

4:23 CVE tjue tjue seks, nittiåtte fire trettito er en use-after-free i Linux-kjernens IPv4 TCP-håndtrykk, scoret ni komma åtte av ti. En ekstern "peer" uten pålogging kan nå den. Eric Dumazet skrev fiksen første oktober. Fiksen nådde stabile kjerner ellevte og femtende oktober, og feilen går tilbake til Linux fire komma fire. Red Hat hevet sin vurdering fra viktig til kritisk trettiende oktober. Lørdag kveld listet Ubuntu og Red Hat Enterprise Linux fortsatt ingen fiksede

4:52 kjerne. Anthropic sier at Claude skrev en fungerende "exploit" for servere med en flerbane TCP- lytter, og Go-programmer har åpnet disse som standard siden Go en komma tjue fire. Go-teamet advarer om at systemer uten denne lytteren kan være sårbare for lignende angrep, og sier at den beste fiksen er en patchet kjerne. Hvis distribusjonen din ikke har en fikset kjerne ennå, publiserer Red Hat og AlmaLinux en brannmurregel som slipper IPv4 TCP-pakker som inneholder IP-opsjoner. Red Hat sier det reduserer eksponeringen og kan ikke fullt ut forhindre den.

5:23 Etter det venter du. Hva du skal gjøre i dag. Installer distribusjonens fiksede kjerne og start på nytt, også på "container hosts" og Kubernetes-noder, fordi containere deler vertskjernen. Debian, Suse og Amazon Linux har allerede fiksene. Hvis du ikke kan lappe ennå, start med verter som kjører flerbane TCP-lyttere. Nå den stoppeklokken jeg lovet.

Tilbake til stoppeklokken: hvor lang tid tok utnyttelsen?

5:44 I Anthropics egen "proof of concept" tar det førtiåtte minutter å lekke en kjernepeker, deretter fem minutter til å kjøre en shell-kommando. Anthropic har ikke publisert "exploiten". Hvis du heller vil lese dette enn å høre meg si det, lander "diff"-en i innboksen din hver morgen, gratis på thedailydiff.dev, lenke nedenfor.

Dom: REVERT

6:02 Så dagens dom er REVERT. Jeg ville tilbakestilt ParticleDB, fordi Jepsens råd er å stoppe distribusjonen, og jeg ville lappet den kjernen, fordi den kommer med en stoppeklokke. Og det er forskjellen for i dag. Jeg er Niko fra Axrisi. Slå sammen ansvarlig.

Kilder

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas