Raportul Jepsen despre ParticleDB, stick-ul USB cu amprentă de la Lenovo, HackerTube-ul lui Karpathy și eroarea TCP din Linux CVE-2026-98432: patru povești de dezvoltatori într-un singur Daily Diff

Ce acoperă acest videoclip

• Jepsen, laboratorul de testare a bazelor de date condus de Kyle Kingsbury, a publicat analiza sa despre ParticleDB pe 31 octombrie 2026. ParticleDB este o bază de date Rust de la Orkes, destinată agenților AI; Orkes a finanțat lucrarea. Jepsen a testat versiunile 1.1.4 până la 1.1.18.11.rc-22 pe un singur nod și prezintă 96 de probleme, majoritatea necesitând un singur server, un singur client și fără defecțiuni. Exemple în raport: o clauză WHERE 4 = 5 a returnat rânduri cu cheia primară 5, WHERE TRUE nu a găsit nimic, iar un UPDATE ar putea lăsa mai multe rânduri cu aceeași cheie primară.
• Pagina de pornire ParticleDB anunța 'Full ACID. 159K TPS.' și o dovadă TLA+, dar Jepsen spune că nicio specificație TLA+ nu a fost disponibilă în timpul colaborării, iar textul de sub 'Full ACID' menționa izolare prin "snapshot". În 1.1.18.11.rc-22, ultima versiune testată de Jepsen, modul de tranzacție implicit (occ) a pierdut totuși scrieri comise în timpul funcționării normale, iar modul cel mai strict, serializabil, a permis actualizări pierdute după oprirea proceselor. Orkes afirmă că versiunea 1.1.19-rc.13 rezolvă toate problemele rămase; Jepsen nu a evaluat-o și recomandă utilizatorilor să oprească implementarea ulterioară a ParticleDB și să migreze la alte baze de date.
• Cercetătorul în securitate Xusheng Li a descoperit că stick-ul USB cu amprentă Lenovo ThinkPlus FU100, comercializat ca fiind criptat hardware cu AES-256, conținea un card SD simplu ale cărui date nu erau criptate; cititorul de amprentă activa doar conexiunea USB. A raportat acest lucru pe 2 august 2025, iar prima soluție a Lenovo a fost un strat de epoxid pe cardul SD. Lenovo a clasificat avertismentul său ca fiind ridicat, iar o soluție ulterioară pentru FU100 și unitățile conexe necesită apelarea unei linii de service în China, apoi o înlocuire sau un upgrade de firmware la fața locului, conform Tom's Hardware.
• Într-un "follow-up" raportat de Tom's Hardware, Li a folosit Codex de la OpenAI, împreună cu instrumentul de "reverse engineering" al angajatorului său, împotriva software-ului de protecție USB al altor producători; cel al Netac a durat aproximativ șapte minute, deoarece avea o cheie fixă încorporată și a scris parola în logurile de diagnosticare, iar unitatea unui alt furnizor avea două conturi ascunse pe care Li le numește "backdoor-uri". Pentru datele de pe un stick USB, criptați fișierele cu software-ul pe care îl controlați înainte ca acestea să ajungă pe dispozitiv.
• Pe 31 octombrie 2026, Andrej Karpathy a descris HackerTube, un site de tip YouTube la hackertube.org, construit cu agentul său de codare în aproximativ două ore. Agentul a descărcat comentariile Hacker News, a filtrat spam-ul și a păstrat aproximativ 40.000 care recomandau un videoclip YouTube, rezultând 6.454 de videoclipuri din 2007 până în 2026, pe 150 de subiecte. Site-ul afișează "frame-ul" de la jumătatea videoclipului în loc de miniatura încărcată. Karpathy listează pașii săi manuali ca fiind o cheie API Google Cloud, un server și un domeniu.
• CVE-2026-98432 este o vulnerabilitate de tip "use-after-free" în "handshake-ul" TCP IPv4 al kernelului Linux, evaluată CVSS 9.8, accesibilă de la distanță de un peer fără autentificare. Corecția lui Eric Dumazet a înlocuit două apeluri kfree simple cu kfree_rcu într-un "commit" din 1 octombrie; "kernel-urile" stabile cu corecția au fost lansate pe 11 și 15 octombrie, iar "bug-ul" datează din Linux 4.4. Red Hat și-a ridicat "rating-ul" de la "Important" la "Critical" pe 30 octombrie. Ubuntu și Red Hat Enterprise Linux nu au listat un "kernel" corectat sâmbătă seara, 31 octombrie. Instalați "kernel-ul" corectat al distribuției dvs. și reporniți, inclusiv "host-urile" de containere, deoarece containerele partajează "kernel-ul" "host-ului".
• Anthropic afirmă că Claude a scris un "exploit" funcțional pentru serverele Linux cu un "listener" TCP multipath și că în "proof of concept"-ul său durează 48 de minute pentru a extrage un "pointer" al "kernel-ului" și încă cinci minute pentru a rula o comandă "shell"; "exploit-ul" nu este publicat. Echipa de securitate Go notează că programele Go activează "listener-ele" TCP multipath implicit începând cu Go 1.24 și avertizează că sistemele fără acel "listener" pot fi vulnerabile la atacuri similare. Red Hat și AlmaLinux publică o regulă de firewall care "drop-uiește" pachetele TCP IPv4 cu opțiuni IP, despre care Red Hat spune că reduce expunerea și nu previne complet exploatarea.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Deschidere rece: cum poate o clauză "where" să spună "patru este egal cu cinci"?

0:00 O bază de date care se laudă cu "Full ACID" ar trebui să păstreze ceea ce scrii. Jepsen a testat una și a găsit nouăzeci și șase de probleme, inclusiv o clauză "where" care spunea "patru este egal cu cinci" și totuși returna rânduri. În acest videoclip, patru povești. Ce a găsit Jepsen într-o bază de date care pretindea "Full ACID"? Ce se afla în interiorul unui stick USB cu amprentă vândut ca fiind criptat? Ce a construit Andrej Karpathy într-o dimineață? Și ce patch-uri sunt necesare pentru o eroare de rețea Linux?

0:26 Unul dintre aceste "bug-uri" vine cu un cronometru. Ți-l voi citi la sfârșit. Este duminică, 1 noiembrie, și acesta este The Daily Diff. Jepsen este laboratorul de testare al lui Kyle Kingsbury. Acesta rulează o bază de date prin sarcini de lucru și defecțiuni reale și verifică dacă garanțiile de pe site sunt respectate. Gândește-te la un inspector care deschide efectiv frigiderul.

Povestea unu: ce a găsit Jepsen în ParticleDB?

0:44 Povestea unu. Sâmbătă, Jepsen a publicat raportul său despre ParticleDB, o bază de date Rust de la Orkes, destinată agenților AI. Orkes a plătit pentru această lucrare. Pagina de pornire spunea "Full ACID", o sută cincizeci și nouă de mii de tranzacții pe secundă. Jepsen a testat ParticleDB de la prima sa versiune 1.1 până la un "release candidate" târziu. Site-ul îl numea "demonstrat formal", cu o dovadă TLA plus. Jepsen spune că nicio specificație TLA plus nu a fost disponibilă în timpul lucrării.

1:10 Sub linia "Full ACID", aceeași pagină spunea "snapshot isolation", care nu este complet izolată. Bug-urile nu erau subtile. Majoritatea necesitau un singur server, un singur client și nu implicau injecții de erori. O clauză "where" care spunea "patru egal cu cinci" returna rânduri. O clauză "where" care spunea "adevărat" nu potrivea nimic. Actualizările lăsau două rânduri cu aceeași cheie primară. Ultima versiune testată de Jepsen, "release candidate" douăzeci și doi,

1:36 era mult mai sigură. Chiar și așa, modul de tranzacție implicit pierdea scrieri comise în timpul funcționării normale. Modul cel mai strict permitea în continuare actualizări pierdute după o oprire a procesului. Orkes spune că următoarea sa versiune rezolvă toate acestea. Jepsen nu a testat-o. Deci, în acea ultimă versiune, o bază de date care promitea "Full ACID" putea pierde o scriere pe care o comisese deja. Viteza, presupun, era excelentă.

2:00 Sfatul lui Jepsen este clar. Opriți implementarea ulterioară a ParticleDB și migrați la o altă bază de date cât mai curând posibil. Orkes dă vina pe o refactorizare de primăvară și spune că propriii săi clienți, pe o versiune mai veche, probabil că nu au fost afectați. Documentația procedurilor stocate chiar a inventat o adresă de e-mail pentru Kyle Kingsbury. Povestea doi. Lenovo ThinkPlus FU o sută este un stick USB cu amprentă

Povestea doi: ce se afla în interiorul stick-ului USB cu amprentă de la Lenovo?

2:21 comercializat ca fiind criptat hardware cu AES două sute cincizeci și șase. Cercetătorul în securitate Xusheng Li a desfăcut unul și a găsit un card SD obișnuit, fără nimic criptat pe el. Cititorul de amprentă decidea un singur lucru: dacă stick-ul se conecta la calculator. Fișierele de pe card nu depindeau niciodată de el. Li a raportat vulnerabilitatea către Lenovo în august două mii douăzeci și cinci. Prima soluție a fost un strat de epoxid pe cardul SD. Deci fișierele nu au fost niciodată criptate.

2:47 Stai, este doar un card SD? Întotdeauna a fost. Lenovo și-a clasificat propria avertizare ca fiind ridicată. Soluția ulterioară, pentru FU o sută și trei unități conexe, înseamnă apelarea unei linii de service în China, apoi fie trimiterea unității înapoi, fie obținerea unui upgrade de firmware la fața locului. Lenovo sfătuiește ștergerea completă a unității înainte. Săptămâna trecută, Li a îndreptat Codex de la OpenAI, plus instrumentul de "reverse engineering" al angajatorului său,

3:09 către software-ul de protecție USB al altor producători. Cel de la Netac a durat aproximativ șapte minute, deoarece avea o cheie fixă încorporată și scria parola în jurnalele de diagnosticare. O unitate avea două conturi ascunse pe care Li le numește "backdoor-uri". Dacă securitatea unei unități este hardware, verifică-o singur. Criptați fișierele cu software-ul pe care îl controlați înainte ca acestea să ajungă pe stick, și tratați amprenta ca pe o comoditate.

Povestea trei: ce a construit Karpathy într-o dimineață?

3:31 Povestea trei, cea ușoară. Vineri seara, Andrej Karpathy a deschis YouTube, a văzut ceea ce a numit un "perete de zoaie înșelat", iar sâmbătă dimineață i-a spus agentului său de codare să construiască un înlocuitor din orice recomandă Hacker News. Agentul a descărcat comentariile Hacker News, a filtrat spam-ul, și a păstrat aproximativ patruzeci de mii care recomandau un videoclip YouTube. Aceasta a lăsat șase mii patru sute cincizeci și patru de videoclipuri, din două mii șapte până acum, în o sută cincizeci de subiecte.

3:58 Site-ul este hackertube punct org. Acesta arată "frame-ul" de la jumătatea videoclipului în loc de miniatura aleasă de încărcător, ceea ce doare puțin. Karpathy spune că întreaga construcție a durat aproximativ două ore. Singurii săi pași manuali au fost o cheie API Google, un server și un domeniu. Pe doisprezece octombrie v-am spus că Karpathy crede că accesul și sarcinile creează un decalaj în modul în care oamenii înțeleg aceste instrumente. Două ore de muncă reprezintă un "data point" decent.

4:21 Povestea patru, cea la care trebuie acționat.

Povestea patru: ce patch-uri sunt necesare pentru CVE-2026-98432?

4:23 CVE douăzeci douăzeci și șase, nouăzeci și opt patruzeci și doi este un "use-after-free" în "handshake-ul" TCP IPv4 al "kernel-ului" Linux, evaluat la nouă punct opt din zece. Un "peer" la distanță, fără autentificare, îl poate accesa. Eric Dumazet a scris "fix-ul" pe 1 octombrie. "Fix-ul" a ajuns la "kernel-urile" stabile pe unsprezece și cincisprezece octombrie, iar "bug-ul" datează din Linux patru punct patru. Red Hat și-a ridicat "rating-ul" de la "important" la "critic" pe treizeci octombrie. Sâmbătă seara, Ubuntu și Red Hat Enterprise Linux încă nu listau niciun "kernel"

4:52 remediat. Anthropic spune că Claude a scris un "exploit" funcțional pentru servere cu un "listener" TCP multipath, iar programele Go le-au deschis implicit începând cu Go unu punct douăzeci și patru. Echipa Go avertizează că sistemele fără acel "listener" pot fi vulnerabile la atacuri similare și spune că cel mai bun "fix" este un "kernel" patch-uit. Dacă distribuția dvs. nu are încă un "kernel" fixat, Red Hat și AlmaLinux publică o regulă de firewall care "drop-uiește" pachetele TCP IPv4 care conțin opțiuni IP. Red Hat spune că reduce expunerea și nu o poate preveni complet.

5:23 După aceea, aștepți. Ce e de făcut azi. Instalați "kernel-ul" remediat al distribuției dvs. și reporniți, inclusiv pe "host-urile" de containere și nodurile Kubernetes, deoarece containerele partajează "kernel-ul" "host-ului". Debian, Suse și Amazon Linux au deja remedieri. Dacă nu puteți aplica "patch-uri" încă, începeți cu "host-urile" care rulează "listener-e" TCP multipath. Acum, cronometrul pe care l-am promis.

Înapoi la cronometru: cât a durat exploatarea?

5:44 În "proof of concept"-ul Anthropic, durează patruzeci și opt de minute pentru a extrage un "pointer" al "kernel-ului", apoi încă cinci minute pentru a rula o comandă "shell". Anthropic nu a publicat "exploit-ul". Dacă preferi să citești asta decât să mă auzi spunând-o, "diff-ul" aterizează în căsuța ta de e-mail în fiecare dimineață, gratuit la thedaily diff punct dev, link mai jos.

Verdict: REVERT

6:02 Deci verdictul de astăzi este REVERT. Aș "revert-ui" ParticleDB, deoarece sfatul lui Jepsen este să oprești implementarea, și aș "patch-ui" acel "kernel", deoarece vine cu un cronometru. Și asta e "diff-ul" pentru azi. Sunt Niko de la Axrisi. Faceți "merge" responsabil.

Surse

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas