# Relatório Jepsen do ParticleDB, pen USB com impressão digital da Lenovo, HackerTube do Karpathy e o bug TCP do Linux CVE-2026-98432: quatro histórias de programadores num Daily Diff

Published: 2026-11-02

Quatro histórias de programadores, cada uma atribuída à sua fonte. A análise de Jepsen à base de dados ParticleDB encontrou 96 problemas, incluindo escritas confirmadas perdidas no modo de transação predefinido da última versão testada, e recomenda parar a implementação; o teste foi financiado pela Orkes, que afirma que a sua próxima versão corrige tudo. Uma pen USB ThinkPlus FU100 da Lenovo com impressão digital, vendida como encriptada com AES-256, continha um cartão SD comum sem encriptação, de acordo com o investigador Xusheng Li, conforme relatado pela Tom's Hardware. Andrej Karpathy construiu o HackerTube, um site com 6.454 vídeos do YouTube recomendados nos comentários do Hacker News, em cerca de duas horas. E o CVE-2026-98432 do kernel do Linux, um uso após libertação de TCP IPv4 com pontuação de 9.8, necessita de um kernel corrigido e de um reinício. O veredito é REVERT.

Canonical: https://thedailydiff.dev/pt-PT/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## O que este vídeo aborda

- Jepsen, o laboratório de testes de bases de dados gerido por Kyle Kingsbury, publicou a sua análise do ParticleDB a 31 de outubro de 2026. ParticleDB é uma base de dados Rust da Orkes destinada a agentes de IA; a Orkes financiou o trabalho. Jepsen testou as versões 1.1.4 a 1.1.18.11.rc-22 num único nó e apresenta 96 problemas, a maioria dos quais necessitava de um servidor, um cliente e sem falhas. Exemplos no relatório: uma cláusula WHERE 4 = 5 devolveu linhas com chave primária 5, WHERE TRUE não correspondeu a nada, e um UPDATE poderia deixar múltiplas linhas com a mesma chave primária.
- A página inicial do ParticleDB anunciava 'Full ACID. 159K TPS.' e uma prova TLA+, mas Jepsen afirma que nenhuma especificação TLA+ estava disponível durante a colaboração, e o texto sob 'Full ACID' mencionava isolamento de snapshot. Na versão 1.1.18.11.rc-22, a última versão testada por Jepsen, o modo de transação occ predefinido ainda perdia escritas confirmadas durante a operação normal, e o modo serializável mais rigoroso permitia a Atualização Perdida após a eliminação de processos. A Orkes afirma que a versão 1.1.19-rc.13 resolve todos os problemas restantes; Jepsen não a avaliou e recomenda que os utilizadores parem a implementação do ParticleDB e migrem para outras bases de dados.
- O investigador de segurança Xusheng Li descobriu que a pen USB ThinkPlus FU100 da Lenovo com impressão digital, comercializada como hardware encriptado com AES-256, continha um cartão SD comum cujos dados não estavam encriptados; o leitor de impressões digitais apenas ativava a ligação USB. Ele relatou isso a 2 de agosto de 2025, e a primeira correção da Lenovo foi uma camada de epóxi sobre o cartão SD. A Lenovo classificou o seu aviso como de alto risco, e uma correção posterior para o FU100 e unidades relacionadas exige ligar para uma linha de serviço na China, seguido de uma substituição ou atualização de firmware no local, de acordo com a Tom's Hardware.
- Num seguimento relatado pela Tom's Hardware, Li usou o Codex da OpenAI com a ferramenta de engenharia reversa do seu empregador contra o software de proteção USB de outros fabricantes; o da Netac levou cerca de sete minutos porque tinha uma chave fixa incorporada e escrevia a palavra-passe para os registos de diagnóstico, e a unidade de outro fornecedor tinha duas contas ocultas que Li chama de backdoors. Para dados numa pen USB, encripte os ficheiros com software que controla antes que cheguem ao dispositivo.
- A 31 de outubro de 2026, Andrej Karpathy descreveu o HackerTube, um site ao estilo YouTube em hackertube.org, construído com o seu agente de codificação em cerca de duas horas. O agente descarregou comentários do Hacker News, filtrou spam e manteve cerca de 40.000 que recomendavam um vídeo do YouTube, resultando em 6.454 vídeos de 2007 a 2026 em 150 tópicos. O site mostra o frame aos 50% em vez da miniatura carregada. Karpathy lista os seus passos manuais como uma chave de API do Google Cloud, um servidor e um domínio.
- CVE-2026-98432 é um 'use-after-free' no handshake TCP IPv4 do kernel Linux, com pontuação CVSS 9.8, acessível por um par remoto sem login. A correção de Eric Dumazet substituiu duas chamadas kfree simples por kfree\_rcu num commit datado de 1 de outubro; kernels estáveis com a correção foram lançados a 11 e 15 de outubro, e o bug remonta ao Linux 4.4. A Red Hat aumentou a sua classificação de Importante para Crítico a 30 de outubro. Ubuntu e Red Hat Enterprise Linux não listavam nenhum kernel corrigido na noite de sábado, 31 de outubro. Instale o kernel corrigido da sua distribuição e reinicie, incluindo hosts de contentores, porque os contentores partilham o kernel do host.
- A Anthropic afirma que Claude escreveu um exploit funcional para servidores Linux com um ouvinte TCP multipath, e que na sua prova de conceito leva 48 minutos para vazar um ponteiro de kernel e mais cinco minutos para executar um comando de shell; o exploit não foi publicado. A Go Security Team observa que os programas Go ativam os ouvintes TCP multipath por padrão desde o Go 1.24 e avisa que sistemas sem esse ouvinte podem ser vulneráveis a ataques semelhantes. A Red Hat e a AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 com opções IP, o que a Red Hat diz reduzir a exposição e não impedir totalmente a exploração.

## Perguntas e respostas

### O que Jepsen encontrou na base de dados ParticleDB e o que recomenda?

A análise de Jepsen ao ParticleDB, publicada a 31 de outubro de 2026 e financiada pela Orkes, apresenta 96 problemas nas versões 1.1.4 a 1.1.18.11.rc-22, incluindo WHERE 4 = 5 a retornar linhas. Na última versão testada, o modo de transação predefinido ainda perdia escritas confirmadas durante a operação normal. Jepsen recomenda que os utilizadores parem a implementação do ParticleDB e migrem para outras bases de dados.

### A pen USB ThinkPlus FU100 da Lenovo com impressão digital era realmente encriptada com AES-256?

De acordo com o investigador Xusheng Li, conforme relatado pela Tom's Hardware e HackingPassion, a FU100 era comercializada como hardware encriptado com AES-256, mas continha um cartão SD comum sem nada encriptado. O leitor de impressões digitais apenas ativava a ligação USB. A primeira correção da Lenovo foi epóxi sobre o cartão, e uma correção posterior exige ligar para uma linha de serviço na China para uma substituição ou atualização de firmware no local.

### O que é o HackerTube e como Andrej Karpathy o construiu?

HackerTube em hackertube.org é um site ao estilo YouTube com 6.454 vídeos recomendados nos comentários do Hacker News de 2007 a 2026, em 150 tópicos. A publicação de Karpathy diz que o seu agente de codificação descarregou os comentários, filtrou spam e manteve cerca de 40.000 que recomendavam um vídeo, e que a construção demorou cerca de duas horas. Os seus passos manuais foram uma chave de API do Google Cloud, um servidor e um domínio.

### Como corrijo o CVE-2026-98432 do kernel Linux, e quais distribuições têm um kernel corrigido?

Instale o kernel corrigido da sua distribuição e reinicie, incluindo hosts de contentores e nós Kubernetes, uma vez que os contentores partilham o kernel do host. A falha é um 'use-after-free' de TCP IPv4 com pontuação CVSS 9.8, corrigido a montante em kernels estáveis a 11 e 15 de outubro. De acordo com a Atlas a 31 de outubro, Debian, SUSE e Amazon Linux tinham correções, enquanto Ubuntu e Red Hat Enterprise Linux não; a Red Hat publica uma mitigação de firewall que reduz a exposição.

### Qual foi o veredito do The Daily Diff sobre estas quatro histórias?

O veredito do The Daily Diff foi REVERT. O conselho de Jepsen sobre o ParticleDB é parar a implementação e migrar, e o bug do kernel Linux CVE-2026-98432 precisa de um kernel corrigido e de um reinício, com a própria prova de conceito da Anthropic a levar 48 minutos para vazar um ponteiro do kernel e mais cinco para executar um comando de shell.

## Capítulos

- 0:00 Início: como é que uma cláusula 'where' diz que quatro é igual a cinco?
- 0:44 Primeira história: o que Jepsen encontrou no ParticleDB?
- 2:17 Segunda história: o que estava dentro da pen USB com impressão digital da Lenovo?
- 3:31 Terceira história: o que Karpathy construiu numa manhã?
- 4:22 Quarta história: o que corrigir para o CVE-2026-98432?
- 5:43 De volta ao cronómetro: quanto tempo demorou o exploit?
- 6:02 Veredito: REVERT

## Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

### Início: como é que uma cláusula 'where' diz que quatro é igual a cinco?

0:00 Uma base de dados que anuncia Full ACID deve manter o que escreve. Jepsen testou uma e encontrou noventa e seis problemas, incluindo uma cláusula 'where' que dizia quatro é igual a cinco e ainda retornava linhas. Neste vídeo, quatro histórias. O que Jepsen encontrou numa base de dados que alegava ser Full ACID? O que estava dentro de uma pen USB com impressão digital vendida como encriptada? O que Andrej Karpathy construiu numa manhã? E o que corrigir para um bug de rede do Linux?

0:26 Um desses bugs vem com um cronómetro. Eu vou lê-lo para vocês no final. É domingo, primeiro de novembro, e este é The Daily Diff. Jepsen é o laboratório de testes de Kyle Kingsbury. Ele submete uma base de dados a cargas de trabalho e falhas reais e verifica se as garantias do site se mantêm. Pensem num inspetor que realmente abre o frigorífico.

### Primeira história: o que Jepsen encontrou no ParticleDB?

0:44 Primeira história. No sábado, Jepsen publicou o seu relatório sobre o ParticleDB, uma base de dados Rust da Orkes destinada a agentes de IA. A Orkes pagou pelo trabalho. A página inicial dizia Full ACID, cento e cinquenta e nove mil transações por segundo. Jepsen testou o ParticleDB desde a sua primeira versão 1.1 até uma versão candidata a lançamento tardia. O site chamou-lhe formalmente provado, com uma prova TLA plus. Jepsen diz que nenhuma especificação TLA plus estava disponível durante o trabalho.

1:10 Sob a linha Full ACID, a mesma página dizia isolamento de snapshot, que não está totalmente isolado. Os bugs não eram subtis. A maioria precisava de um servidor, um cliente e sem falhas injetadas. Uma cláusula 'where' que dizia quatro é igual a cinco retornava linhas. Uma cláusula 'where' que dizia 'true' não correspondia a nada. Atualizações deixavam duas linhas com a mesma chave primária. A última versão que Jepsen testou, a release candidate vinte e dois,

1:36 era muito mais segura. Mesmo assim, o modo de transação predefinido perdia escritas confirmadas durante a operação normal. O modo mais rigoroso ainda permitia atualizações perdidas após um encerramento de processo. A Orkes diz que a sua próxima versão corrige tudo isso. Jepsen não a testou. Assim, nessa última versão, uma base de dados que prometia Full ACID podia perder uma escrita que já tinha confirmado. A velocidade, suponho, era excelente.

2:00 O conselho de Jepsen é claro. Parar a implementação do ParticleDB e migrar para outra base de dados o mais rapidamente possível. A Orkes culpa uma refatoração de primavera e diz que os seus próprios clientes, numa versão mais antiga, provavelmente não foram afetados. Os documentos do procedimento armazenado até inventaram um endereço de e-mail para Kyle Kingsbury. Segunda história. A Lenovo ThinkPlus FU100 é uma pen USB com impressão digital

### Segunda história: o que estava dentro da pen USB com impressão digital da Lenovo?

2:21 comercializada como hardware encriptado com AES 256. O investigador de segurança Xusheng Li desmontou uma e encontrou um cartão SD comum, sem nada encriptado. O leitor de impressões digitais decidia apenas uma coisa: se a pen se ligava ao computador. Os ficheiros no cartão nunca dependiam disso. Li relatou a falha à Lenovo em agosto de dois mil e vinte e cinco. A primeira correção foi uma camada de epóxi sobre o cartão SD. Portanto, os ficheiros nunca foram encriptados.

2:47 Espera, é apenas um cartão SD? Sempre foi. A Lenovo classificou o seu próprio aviso como de alto risco. A correção posterior, para a FU100 e três unidades relacionadas, implica ligar para uma linha de serviço na China, e depois enviar a unidade de volta ou obter uma atualização de firmware no local. A Lenovo aconselha limpar a unidade primeiro. Na semana passada, Li usou o Codex da OpenAI, mais a ferramenta de engenharia reversa do seu

3:09 empregador, no software de proteção USB de outros fabricantes. O da Netac demorou cerca de sete minutos, porque tinha uma chave fixa incorporada e escrevia a palavra-passe para os registos de diagnóstico. Uma unidade tinha duas contas ocultas que Li chama de backdoors. Se a segurança de uma unidade é o hardware, verifique-a você mesmo. Encripta os ficheiros com software que controlas antes que cheguem à pen, e trata a impressão digital como uma conveniência.

### Terceira história: o que Karpathy construiu numa manhã?

3:31 Terceira história, a leve. Na sexta-feira à noite, Andrej Karpathy abriu o YouTube, viu o que chamou de uma parede de lixo enshitificada, e no sábado de manhã disse ao seu agente de codificação para construir um substituto a partir do que o Hacker News recomenda. O agente descarregou os comentários do Hacker News, filtrou spam, e manteve cerca de quarenta mil que recomendavam um vídeo do YouTube. Isso deixou seis mil quatrocentos e cinquenta e quatro vídeos, de dois mil e sete até agora, em cento e cinquenta tópicos.

3:58 O site é hackertube ponto org. Mostra o fotograma a meio em vez da miniatura que o uploader escolheu, o que magoa um pouco. Karpathy diz que toda a construção demorou cerca de duas horas. Os seus únicos passos manuais foram uma chave de API do Google, um servidor e um domínio. A doze de outubro, eu disse-vos que Karpathy pensa que o acesso e as tarefas criam uma lacuna na forma como as pessoas entendem estas ferramentas. Duas horas de trabalho é um bom ponto de dados.

4:21 Quarta história, aquela para agir.

### Quarta história: o que corrigir para o CVE-2026-98432?

4:23 CVE vinte e vinte e seis, noventa e oito quarenta e trinta e dois é um use-after-free no handshake TCP IPv4 do kernel Linux, com pontuação de nove ponto oito em dez. Um par remoto sem login pode alcançá-lo. Eric Dumazet escreveu a correção a um de outubro. A correção chegou aos kernels estáveis a onze e quinze de outubro, e o bug remonta ao Linux quatro ponto quatro. A Red Hat elevou a sua classificação de importante para crítica a trinta de outubro. Na noite de sábado, Ubuntu e Red Hat Enterprise Linux ainda não listavam nenhum kernel

4:52 corrigido. A Anthropic diz que o Claude escreveu um exploit funcional para servidores com um ouvinte TCP multipath, e que os programas Go abrem esses por padrão desde o Go um ponto vinte e quatro. A equipa Go adverte que sistemas sem esse ouvinte podem ser vulneráveis a ataques semelhantes, e diz que a melhor correção é um kernel corrigido. Se a sua distribuição ainda não tem um kernel corrigido, a Red Hat e a AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 com opções IP. A Red Hat diz que reduz a exposição e não consegue preveni-la totalmente.

5:23 Depois disso, esperem. O que fazer hoje. Instale o kernel corrigido da sua distribuição e reinicie, também em hosts de contentores e nós Kubernetes, porque os contentores partilham o kernel do host. Debian, Suse e Amazon Linux já têm correções. Se ainda não puder aplicar a correção, comece com hosts que executam ouvintes TCP multipath. Agora o cronómetro que prometi.

### De volta ao cronómetro: quanto tempo demorou o exploit?

5:44 Na prova de conceito da Anthropic, leva quarenta e oito minutos para vazar um ponteiro do kernel, depois mais cinco minutos para executar um comando de shell. A Anthropic não publicou o exploit. Se preferir ler isto a ouvir-me dizer, o 'diff' chega à sua caixa de entrada todas as manhãs, gratuitamente em the daily diff dot dev, link abaixo.

### Veredito: REVERT

6:02 Então o veredito de hoje é REVERT. Eu reverteria o ParticleDB, porque o conselho de Jepsen é parar a implementação, e eu aplicaria a correção a esse kernel, porque ele vem com um cronómetro. E essa é a diferença de hoje. Eu sou o Niko da Axrisi. Façam a fusão com responsabilidade.

## Fontes

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas