Relatório Jepsen do ParticleDB, pen USB com impressão digital da Lenovo, HackerTube do Karpathy e o bug TCP do Linux CVE-2026-98432: quatro histórias de programadores num Daily Diff

O que este vídeo aborda

• Jepsen, o laboratório de testes de bases de dados gerido por Kyle Kingsbury, publicou a sua análise do ParticleDB a 31 de outubro de 2026. ParticleDB é uma base de dados Rust da Orkes destinada a agentes de IA; a Orkes financiou o trabalho. Jepsen testou as versões 1.1.4 a 1.1.18.11.rc-22 num único nó e apresenta 96 problemas, a maioria dos quais necessitava de um servidor, um cliente e sem falhas. Exemplos no relatório: uma cláusula WHERE 4 = 5 devolveu linhas com chave primária 5, WHERE TRUE não correspondeu a nada, e um UPDATE poderia deixar múltiplas linhas com a mesma chave primária.
• A página inicial do ParticleDB anunciava 'Full ACID. 159K TPS.' e uma prova TLA+, mas Jepsen afirma que nenhuma especificação TLA+ estava disponível durante a colaboração, e o texto sob 'Full ACID' mencionava isolamento de snapshot. Na versão 1.1.18.11.rc-22, a última versão testada por Jepsen, o modo de transação occ predefinido ainda perdia escritas confirmadas durante a operação normal, e o modo serializável mais rigoroso permitia a Atualização Perdida após a eliminação de processos. A Orkes afirma que a versão 1.1.19-rc.13 resolve todos os problemas restantes; Jepsen não a avaliou e recomenda que os utilizadores parem a implementação do ParticleDB e migrem para outras bases de dados.
• O investigador de segurança Xusheng Li descobriu que a pen USB ThinkPlus FU100 da Lenovo com impressão digital, comercializada como hardware encriptado com AES-256, continha um cartão SD comum cujos dados não estavam encriptados; o leitor de impressões digitais apenas ativava a ligação USB. Ele relatou isso a 2 de agosto de 2025, e a primeira correção da Lenovo foi uma camada de epóxi sobre o cartão SD. A Lenovo classificou o seu aviso como de alto risco, e uma correção posterior para o FU100 e unidades relacionadas exige ligar para uma linha de serviço na China, seguido de uma substituição ou atualização de firmware no local, de acordo com a Tom's Hardware.
• Num seguimento relatado pela Tom's Hardware, Li usou o Codex da OpenAI com a ferramenta de engenharia reversa do seu empregador contra o software de proteção USB de outros fabricantes; o da Netac levou cerca de sete minutos porque tinha uma chave fixa incorporada e escrevia a palavra-passe para os registos de diagnóstico, e a unidade de outro fornecedor tinha duas contas ocultas que Li chama de backdoors. Para dados numa pen USB, encripte os ficheiros com software que controla antes que cheguem ao dispositivo.
• A 31 de outubro de 2026, Andrej Karpathy descreveu o HackerTube, um site ao estilo YouTube em hackertube.org, construído com o seu agente de codificação em cerca de duas horas. O agente descarregou comentários do Hacker News, filtrou spam e manteve cerca de 40.000 que recomendavam um vídeo do YouTube, resultando em 6.454 vídeos de 2007 a 2026 em 150 tópicos. O site mostra o frame aos 50% em vez da miniatura carregada. Karpathy lista os seus passos manuais como uma chave de API do Google Cloud, um servidor e um domínio.
• CVE-2026-98432 é um 'use-after-free' no handshake TCP IPv4 do kernel Linux, com pontuação CVSS 9.8, acessível por um par remoto sem login. A correção de Eric Dumazet substituiu duas chamadas kfree simples por kfree_rcu num commit datado de 1 de outubro; kernels estáveis com a correção foram lançados a 11 e 15 de outubro, e o bug remonta ao Linux 4.4. A Red Hat aumentou a sua classificação de Importante para Crítico a 30 de outubro. Ubuntu e Red Hat Enterprise Linux não listavam nenhum kernel corrigido na noite de sábado, 31 de outubro. Instale o kernel corrigido da sua distribuição e reinicie, incluindo hosts de contentores, porque os contentores partilham o kernel do host.
• A Anthropic afirma que Claude escreveu um exploit funcional para servidores Linux com um ouvinte TCP multipath, e que na sua prova de conceito leva 48 minutos para vazar um ponteiro de kernel e mais cinco minutos para executar um comando de shell; o exploit não foi publicado. A Go Security Team observa que os programas Go ativam os ouvintes TCP multipath por padrão desde o Go 1.24 e avisa que sistemas sem esse ouvinte podem ser vulneráveis a ataques semelhantes. A Red Hat e a AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 com opções IP, o que a Red Hat diz reduzir a exposição e não impedir totalmente a exploração.

Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

Início: como é que uma cláusula 'where' diz que quatro é igual a cinco?

0:00 Uma base de dados que anuncia Full ACID deve manter o que escreve. Jepsen testou uma e encontrou noventa e seis problemas, incluindo uma cláusula 'where' que dizia quatro é igual a cinco e ainda retornava linhas. Neste vídeo, quatro histórias. O que Jepsen encontrou numa base de dados que alegava ser Full ACID? O que estava dentro de uma pen USB com impressão digital vendida como encriptada? O que Andrej Karpathy construiu numa manhã? E o que corrigir para um bug de rede do Linux?

0:26 Um desses bugs vem com um cronómetro. Eu vou lê-lo para vocês no final. É domingo, primeiro de novembro, e este é The Daily Diff. Jepsen é o laboratório de testes de Kyle Kingsbury. Ele submete uma base de dados a cargas de trabalho e falhas reais e verifica se as garantias do site se mantêm. Pensem num inspetor que realmente abre o frigorífico.

Primeira história: o que Jepsen encontrou no ParticleDB?

0:44 Primeira história. No sábado, Jepsen publicou o seu relatório sobre o ParticleDB, uma base de dados Rust da Orkes destinada a agentes de IA. A Orkes pagou pelo trabalho. A página inicial dizia Full ACID, cento e cinquenta e nove mil transações por segundo. Jepsen testou o ParticleDB desde a sua primeira versão 1.1 até uma versão candidata a lançamento tardia. O site chamou-lhe formalmente provado, com uma prova TLA plus. Jepsen diz que nenhuma especificação TLA plus estava disponível durante o trabalho.

1:10 Sob a linha Full ACID, a mesma página dizia isolamento de snapshot, que não está totalmente isolado. Os bugs não eram subtis. A maioria precisava de um servidor, um cliente e sem falhas injetadas. Uma cláusula 'where' que dizia quatro é igual a cinco retornava linhas. Uma cláusula 'where' que dizia 'true' não correspondia a nada. Atualizações deixavam duas linhas com a mesma chave primária. A última versão que Jepsen testou, a release candidate vinte e dois,

1:36 era muito mais segura. Mesmo assim, o modo de transação predefinido perdia escritas confirmadas durante a operação normal. O modo mais rigoroso ainda permitia atualizações perdidas após um encerramento de processo. A Orkes diz que a sua próxima versão corrige tudo isso. Jepsen não a testou. Assim, nessa última versão, uma base de dados que prometia Full ACID podia perder uma escrita que já tinha confirmado. A velocidade, suponho, era excelente.

2:00 O conselho de Jepsen é claro. Parar a implementação do ParticleDB e migrar para outra base de dados o mais rapidamente possível. A Orkes culpa uma refatoração de primavera e diz que os seus próprios clientes, numa versão mais antiga, provavelmente não foram afetados. Os documentos do procedimento armazenado até inventaram um endereço de e-mail para Kyle Kingsbury. Segunda história. A Lenovo ThinkPlus FU100 é uma pen USB com impressão digital

Segunda história: o que estava dentro da pen USB com impressão digital da Lenovo?

2:21 comercializada como hardware encriptado com AES 256. O investigador de segurança Xusheng Li desmontou uma e encontrou um cartão SD comum, sem nada encriptado. O leitor de impressões digitais decidia apenas uma coisa: se a pen se ligava ao computador. Os ficheiros no cartão nunca dependiam disso. Li relatou a falha à Lenovo em agosto de dois mil e vinte e cinco. A primeira correção foi uma camada de epóxi sobre o cartão SD. Portanto, os ficheiros nunca foram encriptados.

2:47 Espera, é apenas um cartão SD? Sempre foi. A Lenovo classificou o seu próprio aviso como de alto risco. A correção posterior, para a FU100 e três unidades relacionadas, implica ligar para uma linha de serviço na China, e depois enviar a unidade de volta ou obter uma atualização de firmware no local. A Lenovo aconselha limpar a unidade primeiro. Na semana passada, Li usou o Codex da OpenAI, mais a ferramenta de engenharia reversa do seu

3:09 empregador, no software de proteção USB de outros fabricantes. O da Netac demorou cerca de sete minutos, porque tinha uma chave fixa incorporada e escrevia a palavra-passe para os registos de diagnóstico. Uma unidade tinha duas contas ocultas que Li chama de backdoors. Se a segurança de uma unidade é o hardware, verifique-a você mesmo. Encripta os ficheiros com software que controlas antes que cheguem à pen, e trata a impressão digital como uma conveniência.

Terceira história: o que Karpathy construiu numa manhã?

3:31 Terceira história, a leve. Na sexta-feira à noite, Andrej Karpathy abriu o YouTube, viu o que chamou de uma parede de lixo enshitificada, e no sábado de manhã disse ao seu agente de codificação para construir um substituto a partir do que o Hacker News recomenda. O agente descarregou os comentários do Hacker News, filtrou spam, e manteve cerca de quarenta mil que recomendavam um vídeo do YouTube. Isso deixou seis mil quatrocentos e cinquenta e quatro vídeos, de dois mil e sete até agora, em cento e cinquenta tópicos.

3:58 O site é hackertube ponto org. Mostra o fotograma a meio em vez da miniatura que o uploader escolheu, o que magoa um pouco. Karpathy diz que toda a construção demorou cerca de duas horas. Os seus únicos passos manuais foram uma chave de API do Google, um servidor e um domínio. A doze de outubro, eu disse-vos que Karpathy pensa que o acesso e as tarefas criam uma lacuna na forma como as pessoas entendem estas ferramentas. Duas horas de trabalho é um bom ponto de dados.

4:21 Quarta história, aquela para agir.

Quarta história: o que corrigir para o CVE-2026-98432?

4:23 CVE vinte e vinte e seis, noventa e oito quarenta e trinta e dois é um use-after-free no handshake TCP IPv4 do kernel Linux, com pontuação de nove ponto oito em dez. Um par remoto sem login pode alcançá-lo. Eric Dumazet escreveu a correção a um de outubro. A correção chegou aos kernels estáveis a onze e quinze de outubro, e o bug remonta ao Linux quatro ponto quatro. A Red Hat elevou a sua classificação de importante para crítica a trinta de outubro. Na noite de sábado, Ubuntu e Red Hat Enterprise Linux ainda não listavam nenhum kernel

4:52 corrigido. A Anthropic diz que o Claude escreveu um exploit funcional para servidores com um ouvinte TCP multipath, e que os programas Go abrem esses por padrão desde o Go um ponto vinte e quatro. A equipa Go adverte que sistemas sem esse ouvinte podem ser vulneráveis a ataques semelhantes, e diz que a melhor correção é um kernel corrigido. Se a sua distribuição ainda não tem um kernel corrigido, a Red Hat e a AlmaLinux publicam uma regra de firewall que descarta pacotes TCP IPv4 com opções IP. A Red Hat diz que reduz a exposição e não consegue preveni-la totalmente.

5:23 Depois disso, esperem. O que fazer hoje. Instale o kernel corrigido da sua distribuição e reinicie, também em hosts de contentores e nós Kubernetes, porque os contentores partilham o kernel do host. Debian, Suse e Amazon Linux já têm correções. Se ainda não puder aplicar a correção, comece com hosts que executam ouvintes TCP multipath. Agora o cronómetro que prometi.

De volta ao cronómetro: quanto tempo demorou o exploit?

5:44 Na prova de conceito da Anthropic, leva quarenta e oito minutos para vazar um ponteiro do kernel, depois mais cinco minutos para executar um comando de shell. A Anthropic não publicou o exploit. Se preferir ler isto a ouvir-me dizer, o 'diff' chega à sua caixa de entrada todas as manhãs, gratuitamente em the daily diff dot dev, link abaixo.

Veredito: REVERT

6:02 Então o veredito de hoje é REVERT. Eu reverteria o ParticleDB, porque o conselho de Jepsen é parar a implementação, e eu aplicaria a correção a esse kernel, porque ele vem com um cronómetro. E essa é a diferença de hoje. Eu sou o Niko da Axrisi. Façam a fusão com responsabilidade.

Fontes

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas