Raport Jepsena o ParticleDB, pamięć USB z czytnikiem linii papilarnych Lenovo, HackerTube Karpathy'ego i błąd TCP Linuksa CVE-2026-98432: cztery historie dla deweloperów w jednym Daily Diff

Co obejmuje ten film

• Jepsen, laboratorium testujące bazy danych prowadzone przez Kyle'a Kingsbury'ego, opublikowało swoją analizę ParticleDB 31 października 2026 roku. ParticleDB to baza danych Rust od Orkes, przeznaczona dla agentów AI; Orkes sfinansował tę pracę. Jepsen przetestował wersje od 1.1.4 do 1.1.18.11.rc-22 na pojedynczym węźle i przedstawił 96 problemów, z których większość wymagała jednego serwera, jednego klienta i żadnych błędów. Przykłady w raporcie: klauzula WHERE 4 = 5 zwracała wiersze z kluczem głównym 5, WHERE TRUE nic nie dopasowywała, a UPDATE mogło pozostawić wiele wierszy z tym samym kluczem głównym.
• Strona główna ParticleDB reklamowała 'Pełne ACID. 159K TPS.' i dowód TLA+, ale Jepsen twierdzi, że podczas współpracy nie była dostępna specyfikacja TLA+, a tekst pod 'Pełne ACID' mówił o izolacji migawkowej (snapshot isolation). W wersji 1.1.18.11.rc-22, ostatniej testowanej przez Jepsena, domyślny tryb transakcji occ nadal tracił zatwierdzone zapisy podczas normalnej pracy, a najsurowszy tryb serializable dopuszczał Lost Update po zabiciu procesu. Orkes twierdzi, że wersja 1.1.19-rc.13 rozwiązuje wszystkie pozostałe problemy; Jepsen jej nie oceniał i zaleca użytkownikom wstrzymanie dalszego wdrażania ParticleDB i migrację do innych baz danych.
• Badacz bezpieczeństwa Xusheng Li odkrył, że pamięć USB Lenovo ThinkPlus FU100 z czytnikiem linii papilarnych, reklamowana jako sprzętowo szyfrowana AES-256, zawierała zwykłą kartę SD, której dane nie były szyfrowane; czytnik linii papilarnych jedynie włączał połączenie USB. Zgłosił to 2 sierpnia 2025 roku, a pierwsza poprawka Lenovo polegała na nałożeniu warstwy żywicy epoksydowej na kartę SD. Lenovo oceniło swoje ostrzeżenie jako wysokie, a późniejsza poprawka dla FU100 i powiązanych dysków wymaga kontaktu z linią serwisową w Chinach, a następnie wymiany lub aktualizacji oprogramowania układowego na miejscu, zgodnie z Tom's Hardware.
• W dalszym raporcie Tom's Hardware, Li użył Codexa OpenAI wraz z narzędziem do inżynierii wstecznej swojego pracodawcy przeciwko oprogramowaniu ochronnemu USB innych producentów; oprogramowanie Netac zajęło około siedmiu minut, ponieważ miało wbudowany stały klucz i zapisywało hasło do dzienników diagnostycznych, a dysk innego dostawcy miał dwa ukryte konta, które Li nazywa "tylnymi drzwiami". W przypadku danych na pamięci USB, należy zaszyfrować pliki oprogramowaniem, które kontrolujesz, zanim trafią na urządzenie.
• 31 października 2026 roku Andrej Karpathy opisał HackerTube, witrynę w stylu YouTube pod adresem hackertube.org, zbudowaną z jego agentem kodującym w około dwie godziny. Agent pobrał komentarze z Hacker News, odfiltrował spam i zachował około 40 000, które polecały filmy z YouTube, co dało 6454 filmy z lat 2007-2026 w 150 tematach. Strona wyświetla klatkę z 50% długości filmu zamiast przesłanej miniaturki. Karpathy wymienia swoje ręczne kroki: klucz API Google Cloud, serwer i domenę.
• CVE-2026-98432 to błąd użycia po zwolnieniu pamięci (use-after-free) w uzgadnianiu TCP IPv4 w jądrze Linuksa, oceniony na CVSS 9.8, dostępny dla zdalnego partnera bez logowania. Poprawka Erica Dumazeta zastąpiła dwa zwykłe wywołania kfree przez kfree_rcu w commitcie z 1 października; stabilne jądra z poprawką zostały wydane 11 i 15 października, a błąd sięga Linuksa 4.4. Red Hat podniósł swoją ocenę z "Ważny" na "Krytyczny" 30 października. Ubuntu i Red Hat Enterprise Linux nie wymieniały załatanego jądra w sobotę wieczorem, 31 października. Zainstaluj załatane jądro swojej dystrybucji i uruchom ponownie, włącznie z hostami kontenerów, ponieważ kontenery współdzielą jądro hosta.
• Anthropic twierdzi, że Claude napisał działający exploit dla serwerów z odbiornikiem multipath TCP i że w jego dowodzie koncepcji wyciek wskaźnika jądra zajmuje 48 minut, a uruchomienie polecenia shellowego kolejne pięć minut; exploit nie został opublikowany. Zespół Go Security Team zauważa, że programy Go domyślnie włączają odbiorniki multipath TCP od wersji Go 1.24 i ostrzega, że systemy bez tego odbiornika mogą być podatne na podobne ataki. Red Hat i AlmaLinux publikują regułę zapory sieciowej, która odrzuca pakiety IPv4 TCP z opcjami IP, co, jak twierdzi Red Hat, zmniejsza ekspozycję i nie zapobiega całkowicie wykorzystaniu luki.

Przetłumaczona transkrypcja

Przetłumaczono z oryginalnej narracji angielskiej. Dostępne audio i napisy są kontrolowane przez YouTube.

Zimne otwarcie: jak klauzula where mówi, że cztery równa się pięć?

0:00 Baza danych, która reklamuje "Pełne ACID", powinna przechowywać to, co zapisujesz. Jepsen przetestował jedną i znalazł dziewięćdziesiąt sześć problemów, w tym klauzulę where, która mówiła, że cztery równa się pięć i nadal zwracała wiersze. W tym filmie cztery historie. Co Jepsen znalazł w bazie danych, która twierdziła, że jest "Pełne ACID"? Co było w środku pamięci USB z czytnikiem linii papilarnych sprzedawanej jako zaszyfrowana? Co Andrej Karpathy zbudował w jeden ranek? I co patchować w przypadku błędu sieciowego Linuksa?

0:26 Jeden z tych błędów jest z zegarem. Przeczytam ci to na końcu. Jest niedziela, pierwszy listopada, a to jest The Daily Diff. Jepsen to laboratorium testowe Kyle'a Kingsbury'ego. Przeprowadza bazę danych przez rzeczywiste obciążenia i awarie i sprawdza, czy gwarancje na stronie internetowej są dotrzymane. Pomyśl o inspektorze, który faktycznie otwiera lodówkę.

Historia pierwsza: co Jepsen znalazł w ParticleDB?

0:44 Historia pierwsza. W sobotę Jepsen opublikował swój raport o ParticleDB, bazie danych Rust firmy Orkes, przeznaczonej dla agentów AI. Orkes zapłacił za tę pracę. Strona główna mówiła: "Pełne ACID, sto pięćdziesiąt dziewięć tysięcy transakcji na sekundę". Jepsen testował ParticleDB od pierwszej kompilacji 1.1 do późnej kandydatki na wydanie. Strona nazywała to "formalnie udowodnionym", z dowodem TLA+. Jepsen twierdzi, że specyfikacja TLA+ nie była dostępna podczas pracy.

1:10 Pod wierszem "Pełne ACID" ta sama strona mówiła o izolacji migawkowej, która nie jest w pełni izolowana. Błędy nie były subtelne. Większość wymagała jednego serwera, jednego klienta i żadnych wstrzykniętych awarii. Klauzula WHERE, która mówiła "cztery równa się pięć", zwracała wiersze. Klauzula WHERE, która mówiła "prawda", nic nie pasowała. Aktualizacje pozostawiły dwa wiersze z tym samym kluczem głównym. Ostatnia wersja testowana przez Jepsena, wydanie kandydata dwudziestego drugiego,

1:36 była znacznie bezpieczniejsza. Mimo to, domyślny tryb transakcji tracił zatwierdzone zapisy podczas normalnej operacji. Najbardziej rygorystyczny tryb nadal pozwalał na utratę aktualizacji po zakończeniu procesu. Orkes twierdzi, że jego następne wydanie wszystko naprawia. Jepsen tego nie testował. Więc w tym ostatnim wydaniu baza danych, która obiecywała Full ACID, mogła stracić zapis, który już zatwierdziła. Prędkość, zakładam, była doskonała.

2:00 Rada Jepsena jest prosta. Wstrzymaj dalsze wdrażanie ParticleDB i jak najszybciej migruj do innej bazy danych. Orkes obwinia refaktoryzację wiosenną i twierdzi, że jego klienci, korzystający ze starszej wersji, prawdopodobnie nie zostali dotknięci. Dokumentacja procedury składowanej nawet wymyśliła adres e-mail dla Kyle'a Kingsbury'ego. Historia druga. Lenovo ThinkPlus FU sto to pamięć USB z czytnikiem linii papilarnych

Historia druga: co było w środku pamięci USB z czytnikiem linii papilarnych Lenovo?

2:21 reklamowana jako sprzętowo szyfrowana za pomocą AES dwieście pięćdziesiąt sześć. Badacz bezpieczeństwa Xusheng Li rozebrał ją i znalazł zwykłą kartę SD, bez żadnego zaszyfrowanego elementu. Czytnik linii papilarnych decydował tylko o jednym, czy pamięć była podłączona do komputera. Pliki na karcie nigdy od niego nie zależały. Li zgłosił błąd Lenovo w sierpniu dwa tysiące dwudziestego piątego roku. Pierwszą poprawką była warstwa żywicy epoksydowej na karcie SD. Więc pliki nigdy nie były szyfrowane.

2:47 Czekaj, to tylko karta SD? Zawsze tak było. Lenovo oceniło swoje własne ostrzeżenie jako wysokie. Późniejsza poprawka, dla FU sto i trzech powiązanych dysków, oznacza konieczność zadzwonienia na linię serwisową w Chinach, a następnie odesłania dysku lub uzyskania aktualizacji oprogramowania układowego na miejscu. Lenovo zaleca najpierw wyczyszczenie dysku. W zeszłym tygodniu Li skierował Codexa OpenAI, wraz z narzędziem do inżynierii wstecznej jego pracodawcy,

3:09 na oprogramowanie ochronne USB innych producentów. Netac potrzebował około siedmiu minut, ponieważ miał wbudowany stały klucz i zapisywał hasło do logów diagnostycznych. Jeden dysk miał dwa ukryte konta, które Li nazywa "tylnymi drzwiami". Jeśli bezpieczeństwo dysku zależy od sprzętu, sprawdź to sam. Szyfruj pliki oprogramowaniem, które kontrolujesz, zanim trafią na pamięć USB, i traktuj odcisk palca jako udogodnienie.

Historia trzecia: co Karpathy zbudował w jeden ranek?

3:31 Historia trzecia, ta lekka. W piątek wieczorem Andrej Karpathy otworzył YouTube, zobaczył, jak to nazwał, "zasrane morze szlamu", a w sobotę rano powiedział swojemu agentowi kodującemu, żeby zbudował zamiennik z tego, co poleca Hacker News. Agent pobrał komentarze z Hacker News, odfiltrował spam, i zachował około czterdziestu tysięcy, które polecały film z YouTube. Zostało sześć tysięcy czterysta pięćdziesiąt cztery filmy, od dwóch tysięcy siódmego roku do teraz, w stu pięćdziesięciu tematach.

3:58 Witryna to hackertube.org. Pokazuje klatkę z połowy filmu zamiast miniaturki wybranej przez przesyłającego, co trochę boli. Karpathy mówi, że cała budowa zajęła około dwóch godzin. Jego jedyne ręczne kroki to klucz API Google, serwer i domena. Dwunastego października powiedziałem ci, że Karpathy uważa, iż dostęp i zadania tworzą lukę w sposobie, w jaki ludzie rozumieją te narzędzia. Dwie godziny pracy to przyzwoity punkt danych.

4:21 Historia czwarta, ta, którą trzeba się zająć.

Historia czwarta: co patchować dla CVE-2026-98432?

4:23 CVE dwadzieścia dwadzieścia sześć, dziewięćdziesiąt osiem czterysta trzydzieści dwa to błąd use-after-free w uzgadnianiu TCP IPv4 w jądrze Linuksa, oceniony na dziewięć i osiem dziesiątych na dziesięć. Może go wykorzystać zdalny partner bez logowania. Eric Dumazet napisał poprawkę pierwszego października. Poprawka dotarła do stabilnych jąder jedenastego i piętnastego października, a błąd sięga Linuksa cztery i cztery dziesiąte. Red Hat podniósł swoją ocenę z ważnego na krytyczny trzydziestego października. W sobotę wieczorem Ubuntu i Red Hat Enterprise Linux nadal nie miały na liście załatanego

4:52 jądra. Anthropic twierdzi, że Claude napisał działający exploit dla serwerów z odbiornikiem multipath TCP, a programy Go domyślnie je otwierają od wersji Go jeden dwadzieścia cztery. Zespół Go ostrzega, że systemy bez tego odbiornika mogą być podatne na podobne ataki i twierdzi, że najlepszą poprawką jest załatane jądro. Jeśli twoja dystrybucja nie ma jeszcze załatanego jądra, Red Hat i AlmaLinux publikują regułę zapory sieciowej, która odrzuca pakiety TCP IPv4 zawierające opcje IP. Red Hat twierdzi, że to zmniejsza ekspozycję i nie może jej całkowicie zapobiec.

5:23 Po tym, czekasz. Co zrobić dzisiaj. Zainstaluj załatane jądro swojej dystrybucji i uruchom ponownie, także na hostach kontenerów i węzłach Kubernetes, ponieważ kontenery współdzielą jądro hosta. Debian, Suse i Amazon Linux mają już poprawki. Jeśli jeszcze nie możesz zastosować poprawek, zacznij od hostów, które uruchamiają odbiorniki multipath TCP. Teraz obiecywany stoper.

Powrót do stopera: ile czasu zajęło wykorzystanie luki?

5:44 W dowodzie koncepcji Anthropic, wyciek wskaźnika jądra zajmuje czterdzieści osiem minut, a następnie kolejne pięć minut na uruchomienie polecenia shellowego. Anthropic nie opublikował exploita. Jeśli wolisz to przeczytać, niż usłyszeć, diff trafia do twojej skrzynki odbiorczej każdego ranka, za darmo na thedailydiff.dev, link poniżej.

Werdykt: REVERT

6:02 Dzisiejszy werdykt to REVERT. Cofnąłbym ParticleDB, ponieważ rada Jepsena to wstrzymanie wdrożenia, i załatałbym to jądro, ponieważ jest ono ze stoperem. I to jest diff na dziś. Jestem Niko z Axrisi. Łączcie odpowiedzialnie.

Źródła

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas