Jepsenova správa o ParticleDB, USB kľúč s odtlačkom prsta od spoločnosti Lenovo, Karpathyho HackerTube a chyba Linux TCP CVE-2026-98432: štyri príbehy vývojárov v jednom The Daily Diff

Čo toto video pokrýva

• Jepsen, laboratórium na testovanie databáz, ktoré vedie Kyle Kingsbury, zverejnilo svoju analýzu ParticleDB 31. októbra 2026. ParticleDB je databáza Rust od spoločnosti Orkes zameraná na AI agentov; Orkes financoval prácu. Jepsen testoval verzie 1.1.4 až 1.1.18.11.rc-22 na jednom uzle a predstavuje 96 problémov, z ktorých väčšina potrebovala jeden server, jedného klienta a žiadne chyby. Príklady v správe: klauzula WHERE 4 = 5 vrátila riadky s primárnym kľúčom 5, WHERE TRUE nenašlo nič a UPDATE mohol zanechať viacero riadkov s rovnakým primárnym kľúčom.
• Domovská stránka ParticleDB inzerovala 'Full ACID. 159K TPS.' a dôkaz TLA+, ale Jepsen tvrdí, že počas spolupráce nebola k dispozícii žiadna špecifikácia TLA+, a text pod 'Full ACID' uvádzal izoláciu snímky. Vo verzii 1.1.18.11.rc-22, poslednej verzii testovanej spoločnosťou Jepsen, predvolený transakčný režim occ stále strácal potvrdené zápisy počas normálnej prevádzky a najprísnejší serializovateľný režim umožňoval stratenú aktualizáciu po ukončení procesov. Orkes tvrdí, že verzia 1.1.19-rc.13 rieši všetky zostávajúce problémy; Jepsen ju nehodnotil a odporúča používateľom zastaviť ďalšie nasadzovanie ParticleDB a migrovať na iné databázy.
• Bezpečnostný výskumník Xusheng Li zistil, že USB kľúč Lenovo ThinkPlus FU100 s odtlačkom prsta, predávaný ako hardvérovo šifrovaný s AES-256, obsahoval obyčajnú SD kartu, ktorej dáta neboli šifrované; čítačka odtlačkov prstov iba zapla USB pripojenie. Nahlásil to 2. augusta 2025 a prvá oprava od spoločnosti Lenovo bola vrstva epoxidu nad SD kartou. Lenovo ohodnotilo svoje upozornenie ako vysoké a neskoršia oprava pre FU100 a súvisiace disky vyžaduje zavolanie na servisnú linku v Číne, potom výmenu alebo inováciu firmvéru na mieste, podľa Tom's Hardware.
• V nadväznosti, o ktorej informoval Tom's Hardware, Li použil OpenAI Codex so svojim zamestnávateľovým nástrojom na reverzné inžinierstvo proti softvéru na ochranu USB od iných výrobcov; Netacovi to trvalo asi sedem minút, pretože mal vstavaný pevný kľúč a zapisoval heslo do diagnostických protokolov, a disk iného predajcu mal dva skryté účty, ktoré Li nazýva zadnými vrátkami. Pre dáta na USB kľúči šifrujte súbory softvérom, ktorý ovládate, predtým, ako sa dostanú na zariadenie.
• 31. októbra 2026 Andrej Karpathy opísal HackerTube, stránku v štýle YouTube na hackertube.org, ktorú postavil so svojím kódovacím agentom za približne dve hodiny. Agent stiahol komentáre Hacker News, odfiltroval spam a ponechal si asi 40 000, ktoré odporúčajú video na YouTube, čím získal 6 454 videí z rokov 2007 až 2026 naprieč 150 témami. Stránka namiesto nahratej miniatúry zobrazuje snímku z 50 percent. Karpathy uvádza svoje manuálne kroky ako kľúč Google Cloud API, server a doménu.
• CVE-2026-98432 je chyba use-after-free v IPv4 TCP handshake jadra Linuxu, s hodnotením CVSS 9,8, dosiahnuteľná vzdialeným partnerom bez prihlásenia. Oprava Erica Dumazeta nahradila dva obyčajné volania kfree volaniami kfree_rcu v commite z 1. októbra; stabilné jadrá s opravou boli dodané 11. a 15. októbra a chyba siaha až do Linuxu 4.4. Red Hat zvýšil svoje hodnotenie z Dôležité na Kritické 30. októbra. Ubuntu a Red Hat Enterprise Linux neuvádzali žiadne opravené jadro v sobotu večer, 31. októbra. Nainštalujte opravené jadro vašej distribúcie a reštartujte, vrátane hostiteľov kontajnerov, pretože kontajnery zdieľajú jadro hostiteľa.
• Anthropic tvrdí, že Claude napísal funkčný exploit pre Linuxové servery s multipath TCP poslucháčom, a že v ich dôkaze konceptu trvá 48 minút uniknutie ukazovateľa jadra a ďalších päť minút spustenie príkazu shellu; exploit nie je zverejnený. Go Security Team poznamenáva, že programy Go predvolene povoľujú multipath TCP poslucháčov od Go 1.24 a varuje, že systémy bez tohto poslucháča môžu byť zraniteľné voči podobným útokom. Red Hat a AlmaLinux zverejňujú pravidlo firewallu, ktoré zahadzuje IPv4 TCP pakety s IP možnosťami, čo podľa Red Hatu znižuje expozíciu a plne nezabraňuje zneužitiu.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Úvod: ako môže klauzula where povedať, že štyri sa rovnajú piatim?

0:00 Databáza, ktorá inzeruje Full ACID, by mala uchovávať to, čo napíšete. Jepsen jednu testoval a našiel deväťdesiatšesť problémov, vrátane klauzuly where, ktorá hovorila štyri sa rovnajú piatim a stále vracala riadky. V tomto videu sú štyri príbehy. Čo Jepsen našiel v databáze, ktorá tvrdila Full ACID? Čo bolo vo vnútri USB kľúča s odtlačkom prsta predávaného ako šifrovaný? Čo Andrej Karpathy postavil za jedno ráno? A čo záplatujete pre chybu siete Linux?

0:26 Jedna z týchto chýb prichádza so stopkami. Prečítam vám to na konci. Je nedeľa, prvého novembra, a toto je The Daily Diff. Jepsen je testovacie laboratórium Kyla Kingsburyho. Prebehne databázu skutočnými pracovnými záťažami a zlyhaniami a skontroluje, či sa záväzky na webovej stránke dodržiavajú. Predstavte si inšpektora, ktorý skutočne otvorí chladničku.

Príbeh prvý: čo Jepsen našiel v ParticleDB?

0:44 Príbeh prvý. V sobotu Jepsen zverejnil svoju správu o ParticleDB, databáze Rust od spoločnosti Orkes zameranej na agentov AI. Orkes zaplatil za prácu. Domovská stránka uvádzala Full ACID, stotridsaťdeväťtisíc transakcií za sekundu. Jepsen testoval ParticleDB od jej prvej verzie 1.1 až po neskorú release candidate. Stránka ju nazvala formálne overenou, s TLA plus dôkazom. Jepsen tvrdí, že počas práce nebola k dispozícii žiadna špecifikácia TLA plus.

1:10 Pod riadkom Full ACID tá istá stránka uvádzala izoláciu snímky, ktorá nie je plne izolovaná. Chyby neboli jemné. Väčšina potrebovala jeden server, jedného klienta a žiadne vstreknuté zlyhania. Klauzula where, ktorá hovorila štyri sa rovnajú piatim, vrátila riadky. Klauzula where, ktorá hovorila true, nič nenašla. Aktualizácie zanechali dva riadky s rovnakým primárnym kľúčom. Posledná verzia, ktorú Jepsen testoval, release candidate dvadsaťdva,

1:36 bola oveľa bezpečnejšia. Napriek tomu predvolený transakčný režim strácal potvrdené zápisy počas normálnej prevádzky. Najprísnejší režim stále umožňoval stratené aktualizácie po ukončení procesu. Orkes tvrdí, že jeho ďalšia verzia to všetko opraví. Jepsen to netestoval. Takže v tej poslednej verzii databáza, ktorá sľubovala Full ACID, mohla stratiť zápis, ktorý už potvrdila. Rýchlosť, predpokladám, bola vynikajúca.

2:00 Jepsenova rada je jasná. Zastavte ďalšie nasadzovanie ParticleDB a čo najskôr migrujte na inú databázu. Orkes obviňuje jarné prepracovanie a tvrdí, že jeho vlastní zákazníci, na staršej verzii, pravdepodobne neboli ovplyvnení. Dokumentácia uložených procedúr dokonca vymyslela e-mailovú adresu pre Kylea Kingsburyho. Príbeh druhý. Lenovo ThinkPlus FU sto je USB kľúč s odtlačkom prsta

Príbeh druhý: čo bolo v USB kľúči s odtlačkom prsta od spoločnosti Lenovo?

2:21 predávaný ako hardvérovo šifrovaný s AES dvestopäťdesiatšesť. Bezpečnostný výskumník Xusheng Li jeden rozobral a našiel obyčajnú SD kartu, bez akéhokoľvek šifrovania. Čítačka odtlačkov prstov rozhodla o jednej veci, či sa kľúč pripojil k počítaču. Súbory na karte od toho nikdy nezáviseli. Li nahlásil chybu spoločnosti Lenovo v auguste dvadsaťpäť. Prvá oprava bola vrstva epoxidu nad SD kartou. Takže súbory nikdy neboli šifrované.

2:47 Počkať, je to len SD karta? Vždy to tak bolo. Lenovo ohodnotilo svoje vlastné upozornenie ako vysoké. Neskoršia oprava, pre FU sto a tri súvisiace disky, znamená zavolať na servisnú linku v Číne, potom buď poslať disk späť, alebo získať upgrade firmvéru na mieste. Lenovo odporúča najprv disk vymazať. Minulý týždeň Li namieril OpenAI Codex, plus nástroj na reverzné inžinierstvo svojho zamestnávateľa,

3:09 na softvér na ochranu USB od iných výrobcov. Netacovi to trvalo asi sedem minút, pretože mal vstavaný pevný kľúč a zapisoval heslo do diagnostických protokolov. Jeden disk mal dva skryté účty, ktoré Li nazýva zadnými vrátkami. Ak je bezpečnosť disku hardvérová, skontrolujte ju sami. Šifrujte súbory softvérom, ktorý ovládate, predtým, ako sa dostanú na kľúč, a odtlačok prsta považujte za pohodlie.

Príbeh tretí: čo Karpathy postavil za jedno ráno?

3:31 Príbeh tretí, ten ľahký. V piatok večer Andrej Karpathy otvoril YouTube, uvidel to, čo nazval zanesenou stenou blatu, a v sobotu ráno povedal svojmu kódovaciemu agentovi, aby postavil náhradu z čohokoľvek, čo odporúča Hacker News. Agent stiahol komentáre Hacker News, odfiltroval spam, a ponechal si asi štyridsaťtisíc, ktoré odporúčajú video na YouTube. Zostalo šesťtisícštyristopäťdesiatštyri videí, od dvetisícsedem do súčasnosti, v stodvadsiatich piatich témach.

3:58 Stránka je hackertube bodka org. Zobrazuje snímku z polovice namiesto miniatúry, ktorú si vybral nahrávateľ, čo trochu štípe. Karpathy tvrdí, že celá stavba trvala asi dve hodiny. Jeho jediné manuálne kroky boli Google API kľúč, server a doména. Dvanásteho októbra som vám povedal, že Karpathy si myslí, že prístup a úlohy vytvárajú medzeru v tom, ako ľudia rozumejú týmto nástrojom. Dve hodiny práce sú slušný dátový bod.

4:21 Príbeh štvrtý, ten, na ktorý treba konať.

Príbeh štvrtý: čo záplatujete pre CVE-2026-98432?

4:23 CVE dvadsaťšesť, deväťdesiatosemštyristotridsaťdva je use-after-free v IPv4 TCP handshake jadra Linuxu, s hodnotením deväť celých osem z desiatich. Môže ho dosiahnuť vzdialený partner bez prihlásenia. Eric Dumazet napísal opravu prvého októbra. Oprava sa dostala do stabilných jadier jedenásteho a pätnásteho októbra, a chyba siaha až do Linuxu štyri celé štyri. Red Hat zvýšil svoje hodnotenie z dôležitého na kritické tridsiateho októbra. V sobotu večer, Ubuntu a Red Hat Enterprise Linux stále neuvádzali žiadne opravené

4:52 jadro. Anthropic tvrdí, že Claude napísal funkčný exploit pre servery s multipath TCP poslucháčom, a programy Go ich otvárajú predvolene od Go jeden bod dvadsať štyri. Tím Go varuje, že systémy bez tohto poslucháča môžu byť zraniteľné voči podobným útokom, a tvrdí, že najlepšou opravou je záplatované jadro. Ak vaša distribúcia ešte nemá opravené jadro, Red Hat a AlmaLinux zverejňujú pravidlo firewallu, ktoré zahadzuje IPv4 TCP pakety s IP možnosťami. Red Hat tvrdí, že znižuje expozíciu a nemôže jej úplne zabrániť.

5:23 Potom už len čakáte. Čo robiť dnes. Nainštalujte opravené jadro svojej distribúcie a reštartujte, aj na hostiteľoch kontajnerov a uzloch Kubernetes, pretože kontajnery zdieľajú jadro hostiteľa. Debian, Suse a Amazon Linux už majú opravy. Ak ešte nemôžete záplatovať, začnite s hostiteľmi, ktorí používajú multipath TCP poslucháčov. Teraz stopky, ktoré som sľúbil.

Späť k stopkám: ako dlho trval exploit?

5:44 V vlastnom dôkaze konceptu Anthropic trvá štyridsaťosem minút uniknutie ukazovateľa jadra, potom ďalších päť minút spustenie príkazu shellu. Anthropic exploit nezverejnil. Ak si to radšej prečítate, ako by ste ma počúvali, diff vám pristane v schránke každé ráno, zadarmo na thedailydiff bodka dev, odkaz nižšie.

Verdikt: REVERT

6:02 Takže dnešný verdikt je REVERT. Vrátila by som ParticleDB, pretože Jepsenova rada je zastaviť nasadzovanie, a záplatovala by som to jadro, pretože to prichádza so stopkami. A to je dnešný diff. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas