Отчет Jepsen о ParticleDB, флешка Lenovo с отпечатком пальца, HackerTube Карпати и ошибка Linux TCP CVE-2026-98432: четыре истории для разработчиков в одном выпуске Daily Diff

Что освещается в этом видео

• Jepsen, лаборатория тестирования баз данных под управлением Кайла Кингсбери, опубликовала свой анализ ParticleDB 31 октября 2026 года. ParticleDB — это база данных на Rust от Orkes, предназначенная для агентов ИИ; Orkes профинансировала работу. Jepsen протестировал версии с 1.1.4 по 1.1.18.11.rc-22 на одном узле и представил 96 проблем, большинство из которых требовали одного сервера, одного клиента и отсутствия сбоев. Примеры в отчете: пункт WHERE 4 = 5 возвращал строки с первичным ключом 5, WHERE TRUE ничего не находил, а UPDATE мог оставить несколько строк с одинаковым первичным ключом.
• На домашней странице ParticleDB рекламировались «Полная ACID. 159K TPS.» и доказательство TLA+, но Jepsen говорит, что во время сотрудничества спецификация TLA+ не была доступна, а текст под «Полная ACID» говорил о изоляции снимков. В 1.1.18.11.rc-22, последней версии, протестированной Jepsen, режим транзакций occ по умолчанию все еще терял зафиксированные записи во время нормальной работы, а самый строгий сериализуемый режим допускал потерянные обновления после сбоев процесса. Orkes заявляет, что версия 1.1.19-rc.13 устраняет все оставшиеся проблемы; Jepsen не оценивал ее и рекомендует пользователям прекратить дальнейшее развертывание ParticleDB и мигрировать на другие базы данных.
• Исследователь безопасности Сюйшэн Ли обнаружил, что флешка Lenovo ThinkPlus FU100 с отпечатком пальца, продаваемая как аппаратно зашифрованная с AES-256, содержала обычную SD-карту, данные на которой не были зашифрованы; сканер отпечатков пальцев только включал USB-соединение. Он сообщил об этом 2 августа 2025 года, и первым исправлением Lenovo был слой эпоксидной смолы поверх SD-карты. Lenovo оценила свое предупреждение как высокое, а более позднее исправление для FU100 и связанных накопителей требует звонка на горячую линию в Китае, затем замены или обновления прошивки на месте, согласно Tom's Hardware.
• В последующем отчете Tom's Hardware Ли использовал Codex от OpenAI вместе с инструментом обратной инженерии своего работодателя против программного обеспечения защиты USB других производителей; Netac потребовалось около семи минут, потому что у него был встроенный фиксированный ключ, и он записывал пароль в диагностические журналы, а накопитель другого поставщика имел две скрытые учетные записи, которые Ли называет бэкдорами. Для данных на флешке шифруйте файлы с помощью программного обеспечения, которое вы контролируете, прежде чем они попадут на устройство.
• 31 октября 2026 года Андрей Карпати описал HackerTube, сайт в стиле YouTube по адресу hackertube.org, созданный с помощью его кодирующего агента примерно за два часа. Агент загрузил комментарии Hacker News, отфильтровал спам и сохранил около 40 000 комментариев, которые рекомендовали видео YouTube, в результате чего получилось 6454 видео с 2007 по 2026 год по 150 темам. Сайт показывает кадр с отметки 50 процентов вместо загруженной миниатюры. Карпати перечисляет свои ручные шаги как ключ API Google Cloud, сервер и домен.
• CVE-2026-98432 — это ошибка use-after-free в рукопожатии IPv4 TCP ядра Linux, оценка CVSS 9.8, доступная удаленному узлу без входа в систему. Исправление Эрика Думазета заменило два обычных вызова kfree на kfree_rcu в коммите от 1 октября; стабильные ядра с исправлением были выпущены 11 и 15 октября, а ошибка восходит к Linux 4.4. Red Hat повысила свою оценку с «Важная» до «Критическая» 30 октября. Ubuntu и Red Hat Enterprise Linux не указали исправленное ядро в субботу вечером, 31 октября. Установите исправленное ядро вашего дистрибутива и перезагрузите, включая хосты контейнеров, потому что контейнеры используют ядро хоста.
• Anthropic заявляет, что Claude написал рабочий эксплойт для серверов Linux с прослушивателем multipath TCP, и что в их концепте требуется 48 минут для утечки указателя ядра и еще пять минут для выполнения команды оболочки; эксплойт не опубликован. Команда Go Security отмечает, что программы Go по умолчанию включают прослушиватели multipath TCP с Go 1.24 и предупреждает, что системы без этого прослушивателя могут быть уязвимы для аналогичных атак. Red Hat и AlmaLinux публикуют правило брандмауэра, которое отбрасывает пакеты IPv4 TCP с опциями IP, что, по словам Red Hat, снижает уязвимость и не полностью предотвращает эксплойты.

Переведенная стенограмма

Переведено с оригинального английского повествования. Доступные аудио и субтитры контролируются YouTube.

Холодный старт: как предложение where говорит «четыре равно пяти»?

0:00 База данных, которая рекламирует Full ACID, должна сохранять то, что вы записываете. Jepsen протестировал одну и нашел девяносто шесть проблем, включая пункт where, который говорил «четыре равно пяти» и все еще возвращал строки. В этом видео четыре истории. Что Jepsen нашел в базе данных, которая заявляла о Full ACID? Что было внутри флешки с отпечатком пальца, продаваемой как зашифрованная? Что Андрей Карпати построил за одно утро? И что патчить для сетевой ошибки Linux?

0:26 Одна из этих ошибок поставляется с секундомером. Я прочитаю это вам в конце. Сегодня воскресенье, первое ноября, и это The Daily Diff. Jepsen — это тестовая лаборатория Кайла Кингсбери. Она прогоняет базу данных через реальные рабочие нагрузки и сбои и проверяет, соответствуют ли заявленные на сайте гарантии реальности. Представьте себе инспектора, который на самом деле открывает холодильник.

История первая: что нашел Jepsen в ParticleDB?

0:44 История первая. В субботу Jepsen опубликовал свой отчет о ParticleDB, базе данных на Rust от Orkes, предназначенной для агентов ИИ. Orkes оплатил работу. На главной странице было написано Full ACID, сто пятьдесят девять тысяч транзакций в секунду. Jepsen протестировал ParticleDB от первой сборки 1.1 до позднего кандидата в релизы. Сайт называл ее формально доказанной, с доказательством TLA+. Jepsen говорит, что спецификация TLA+ не была доступна во время работы.

1:10 Под строкой Full ACID та же страница говорила о изоляции снимков, которая не является полностью изолированной. Ошибки не были скрытыми. Большинству требовался один сервер, один клиент и отсутствие внедренных сбоев. Пункт where, который говорил «четыре равно пяти», возвращал строки. Пункт where, который говорил «true», ничего не находил. Обновления оставляли две строки с одним и тем же первичным ключом. Последний релиз, который Jepsen протестировал, релиз-кандидат двадцать два,

1:36 был намного безопаснее. Тем не менее, режим транзакций по умолчанию терял зафиксированные записи во время нормальной работы. Самый строгий режим все еще допускал потерянные обновления после завершения процесса. Orkes заявляет, что их следующий релиз все это исправит. Jepsen не тестировал его. Таким образом, в последнем релизе база данных, которая обещала Full ACID, могла потерять запись, которую она уже зафиксировала. Скорость, я полагаю, была отличной.

2:00 Совет Jepsen прост. Прекратите дальнейшее развертывание ParticleDB и как можно скорее мигрируйте на другую базу данных. Orkes винит рефакторинг весной и говорит, что их собственные клиенты, использующие более старую версию, скорее всего, не пострадали. Документация по хранимым процедурам даже выдумала адрес электронной почты для Кайла Кингсбери. История вторая. Lenovo ThinkPlus FU100 — это флешка с отпечатком пальца,

История вторая: что было внутри флешки Lenovo с отпечатком пальца?

2:21 продаваемая как аппаратно зашифрованная с AES-256. Исследователь безопасности Сюйшэн Ли разобрал одну и обнаружил обычную SD-карту, на которой ничего не было зашифровано. Сканер отпечатков пальцев решал одно, подключается ли флешка к компьютеру. Файлы на карте никогда от этого не зависели. Ли сообщил о недостатке Lenovo в августе 2025 года. Первым исправлением был слой эпоксидной смолы поверх SD-карты. Таким образом, файлы никогда не были зашифрованы.

2:47 Подождите, это просто SD-карта? Так всегда было. Lenovo оценила свое собственное предупреждение как высокое. Более позднее исправление, для FU100 и трех связанных накопителей, означает звонок на горячую линию в Китае, затем либо отправку накопителя обратно, либо получение обновления прошивки на месте. Lenovo советует сначала стереть данные с накопителя. На прошлой неделе Ли направил OpenAI Codex, а также инструмент обратной инженерии своего работодателя,

3:09 на программное обеспечение защиты USB других производителей. Netac потребовалось около семи минут, потому что у него был встроенный фиксированный ключ и он записывал пароль в диагностические журналы. У одного накопителя было две скрытые учетные записи, которые Ли называет бэкдорами. Если безопасность накопителя — это аппаратное обеспечение, проверьте его сами. Зашифруйте файлы с помощью программного обеспечения, которое вы контролируете, прежде чем они попадут на флешку, и рассматривайте отпечаток пальца как удобство.

История третья: что создал Карпати за одно утро?

3:31 История третья, легкая. В пятницу вечером Андрей Карпати открыл YouTube, увидел то, что он назвал «засранной стеной хлама», и в субботу утром сказал своему кодирующему агенту создать замену из того, что рекомендует Hacker News. Агент загрузил комментарии Hacker News, отфильтровал спам, и сохранил около сорока тысяч, которые рекомендовали видео YouTube. Это оставило шесть тысяч четыреста пятьдесят четыре видео, с двух тысяч седьмого года по настоящее время, по ста пятидесяти темам.

3:58 Сайт называется hackertube.org. Он показывает кадр с середины видео вместо миниатюры, которую выбрал загрузчик, что немного обидно. Карпати говорит, что вся сборка заняла около двух часов. Его единственными ручными шагами были ключ Google API, сервер и домен. Двенадцатого октября я говорил вам, что Карпати считает, что доступ и задачи создают разрыв в том, как люди понимают эти инструменты. Два часа работы — это хороший показатель.

4:21 История четвертая, та, по которой нужно действовать.

История четвертая: что патчить для CVE-2026-98432?

4:23 CVE 2026-98432 — это use-after-free в рукопожатии IPv4 TCP ядра Linux, оценка девять и восемь из десяти. Удаленный узел без входа в систему может получить к ней доступ. Эрик Дюмазе написал исправление первого октября. Исправление достигло стабильных ядер одиннадцатого и пятнадцатого октября, и ошибка восходит к Linux четыре точка четыре. Red Hat повысила свою оценку с «важная» до «критическая» тридцатого октября. В субботу вечером Ubuntu и Red Hat Enterprise Linux все еще не указывали исправленное

4:52 ядро. Anthropic заявляет, что Claude написал рабочий эксплойт для серверов с прослушивателем multipath TCP, и программы Go открывают их по умолчанию с Go один точка двадцать четыре. Команда Go предупреждает, что системы без этого прослушивателя могут быть уязвимы для подобных атак, и говорит, что лучшее исправление — это пропатченное ядро. Если у вашего дистрибутива еще нет исправленного ядра, Red Hat и AlmaLinux публикуют правило брандмауэра, которое отбрасывает пакеты IPv4 TCP, содержащие опции IP. Red Hat говорит, что это снижает уязвимость и не может полностью предотвратить ее.

5:23 После этого вы ждете. Что делать сегодня. Установите исправленное ядро вашего дистрибутива и перезагрузите, на хостах контейнеров и узлах Kubernetes тоже, потому что контейнеры используют ядро хоста. Debian, Suse и Amazon Linux уже имеют исправления. Если вы еще не можете применить патч, начните с хостов, на которых работают прослушиватели multipath TCP. Теперь секундомер, который я обещал.

Обратно к секундомеру: сколько времени занял эксплойт?

5:44 В собственном концепте Anthropic требуется сорок восемь минут, чтобы утекло указатель ядра, затем еще пять минут, чтобы выполнить команду оболочки. Anthropic не опубликовал эксплойт. Если вы предпочитаете читать это, чем слушать меня, то diff попадает в ваш почтовый ящик каждое утро, бесплатно на thedailydiff.dev, ссылка ниже.

Вердикт: REVERT

6:02 Так что сегодняшний вердикт — REVERT. Я бы откатил ParticleDB, потому что совет Jepsen — остановить развертывание, и я бы пропатчил это ядро, потому что оно поставляется с секундомером. И это все на сегодня. Я Нико из Axrisi. Ответственно объединяйте.

Источники

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas