Poročilo Jepsen o ParticleDB, Lenovo USB ključ s prstnim odtisom, Karpathyjev HackerTube in napaka Linux TCP CVE-2026-98432: štiri razvijalske zgodbe v enem Daily Diffu

Kaj zajema ta videoposnetek

• Jepsen, laboratorij za testiranje baz podatkov, ki ga vodi Kyle Kingsbury, je objavil svojo analizo ParticleDB 31. oktobra 2026. ParticleDB je baza podatkov Rust podjetja Orkes, namenjena AI agentom; Orkes je financiral delo. Jepsen je testiral različice 1.1.4 do 1.1.18.11.rc-22 na enem vozlišču in predstavil 96 težav, večina jih je potrebovala en strežnik, enega odjemalca in brez napak. Primeri v poročilu: klavzula WHERE 4 = 5 je vrnila vrstice s primarnim ključem 5, WHERE TRUE ni našla ničesar, in UPDATE bi lahko pustil več vrstic z istim primarnim ključem.
• Domača stran ParticleDB je oglaševala 'Full ACID. 159K TPS.' in dokazilo TLA+, vendar Jepsen pravi, da specifikacija TLA+ med sodelovanjem ni bila na voljo, in besedilo pod 'Full ACID' je navajalo izolacijo posnetkov. V različici 1.1.18.11.rc-22, zadnji različici, ki jo je Jepsen testiral, je privzeti transakcijski način occ še vedno izgubljal potrjene zapise med normalnim delovanjem, in najstrožji serijski način je omogočal izgubljeno posodobitev po prekinitvi procesov. Orkes pravi, da različica 1.1.19-rc.13 rešuje vse preostale težave; Jepsen je ni ocenil in priporoča uporabnikom, da ustavijo nadaljnje uvajanje ParticleDB in migrirajo na druge baze podatkov.
• Varnostni raziskovalec Xusheng Li je ugotovil, da USB ključ s prstnim odtisom Lenovo ThinkPlus FU100, oglaševan kot strojno šifriran z AES-256, vsebuje navadno SD kartico, katere podatki niso bili šifrirani; bralnik prstnih odtisov je samo vklopil USB povezavo. Poročal je o tem 2. avgusta 2025, in prva Lenovova rešitev je bila plast epoksida čez SD kartico. Lenovo je svojo opozorilo ocenil kot visoko, kasnejši popravek za FU100 in sorodne pogone pa zahteva klic servisne linije na Kitajskem, nato zamenjavo ali nadgradnjo vdelane programske opreme na kraju samem, po poročanju Tom's Hardware.
• V nadaljevanju, ki ga je poročal Tom's Hardware, je Li uporabil OpenAI Codex z orodjem za obratno inženirstvo svojega delodajalca proti programski opremi za zaščito USB drugih proizvajalcev; Netacovo je trajalo približno sedem minut, ker je imela vgrajen fiksni ključ in je geslo zapisovala v diagnostične dnevnike, pogon drugega prodajalca pa je imel dva skrita računa, ki ju Li imenuje "zadnja vrata". Za podatke na USB ključu šifrirajte datoteke s programsko opremo, ki jo nadzorujete, preden dosežejo napravo.
• 31. oktobra 2026 je Andrej Karpathy opisal HackerTube, spletno stran v stilu YouTube na hackertube.org, zgrajeno s svojim kodirnim agentom v približno dveh urah. Agent je prenesel komentarje Hacker News, filtriral neželeno pošto in obdržal približno 40.000 tistih, ki priporočajo videoposnetek YouTube, kar je dalo 6.454 videoposnetkov od leta 2007 do 2026 v 150 temah. Stran prikazuje okvir na 50-odstotni točki namesto naložene sličice. Karpathy navaja svoje ročne korake kot API ključ Google Cloud, strežnik in domeno.
• CVE-2026-98432 je napaka use-after-free v IPv4 TCP "handshakeu" jedra Linuxa, ocenjena z CVSS 9.8, dostopna oddaljenemu uporabniku brez prijave. Eric Dumazetov popravek je zamenjal dva navadna klica kfree s kfree_rcu v potrditvi z datumom 1. oktobra; stabilna jedra s popravkom so bila izdana 11. in 15. oktobra, napaka pa sega v Linux 4.4. Red Hat je 30. oktobra svojo oceno dvignil iz pomembne na kritično. Ubuntu in Red Hat Enterprise Linux v soboto zvečer, 31. oktobra, še nista navajala popravljenega jedra. Namestite popravljeno jedro svoje distribucije in ponovno zaženite, vključno z gostitelji kontejnerjev, saj kontejnerji delijo jedro gostitelja.
• Anthropic pravi, da je Claude napisal delujoč izkoriščevalnik za Linux strežnike z multipath TCP poslušalcem in da v svojem dokazu koncepta potrebuje 48 minut za uhajanje kazalca jedra in še pet minut za izvedbo lupinskega ukaza; izkoriščevalnik ni objavljen. Varnostna ekipa Go opozarja, da programi Go privzeto omogočajo multipath TCP poslušalce od Go 1.24 in opozarja, da so sistemi brez tega poslušalca lahko ranljivi za podobne napade. Red Hat in AlmaLinux objavljata pravilo požarnega zidu, ki zavrže IPv4 TCP pakete z IP možnostmi, kar Red Hat pravi, da zmanjšuje izpostavljenost in ne preprečuje popolnoma izkoriščanja.

Preveden prepis

Prevedeno iz izvirnega angleškega pripovedovanja. Razpoložljivi zvok in podnapisi so nadzorovani s strani YouTuba.

Hladen začetek: kako klavzula WHERE reče, da je štiri enako pet?

0:00 Zbirka podatkov, ki oglašuje Full ACID, naj bi ohranila to, kar zapišete. Jepsen je testiral eno in našel šestindevetdeset težav, vključno s klavzulo where, ki je rekla, da je štiri enako pet in je še vedno vrnila vrstice. V tem videu, štiri zgodbe. Kaj je Jepsen odkril v zbirki podatkov, ki je trdila, da je Full ACID? Kaj je bilo v USB ključku s prstnim odtisom, ki se je prodajal kot šifriran? Kaj je Andrej Karpathy zgradil v enem dopoldnevu? In kaj popravite za napako v omrežju Linux?

0:26 Ena od teh napak je opremljena s štoparico. Prebral vam jo bom na koncu. Je nedelja, prvi november, in to je The Daily Diff. Jepsen je testni laboratorij Kylea Kingsburyja. Zbirko podatkov preizkusi z resničnimi delovnimi obremenitvami in napakami ter preveri, ali se zagotovila na spletni strani držijo. Pomislite na inšpektorja, ki dejansko odpre hladilnik.

Zgodba ena: kaj je Jepsen odkril v ParticleDB?

0:44 Zgodba ena. V soboto je Jepsen objavil poročilo o ParticleDB, zbirki podatkov Rust podjetja Orkes, namenjeni AI agentom. Orkes je plačal delo. Na domači strani je pisalo Full ACID, sto devetinpetdeset tisoč transakcij na sekundo. Jepsen je testiral ParticleDB od prve različice 1.1 do pozne kandidatne izdaje. Spletno mesto jo je imenovalo formalno dokazano, z dokazom TLA plus. Jepsen pravi, da specifikacija TLA plus ni bila na voljo med delom.

1:10 Pod vrstico Full ACID je ista stran navajala izolacijo posnetka, ki ni popolnoma izolirana. Napake niso bile subtilne. Večina jih je potrebovala en strežnik, enega odjemalca in nobenih napak. Klavzula where, ki je govorila, da je štiri enako pet, je vrnila vrstice. Klavzula where, ki je govorila true, ni našla ničesar. Posodobitve so pustile dve vrstici z istim primarnim ključem. Zadnja izdaja, ki jo je Jepsen testiral, izdaja kandidat dvaindvajset,

1:36 je bila veliko varnejša. Kljub temu je privzeti transakcijski način izgubljal potrjene zapise med normalnim delovanjem. Najstrožji način je še vedno dovoljeval izgubljene posodobitve po prekinitvi procesa. Orkes pravi, da njegova naslednja izdaja vse to popravi. Jepsen je ni testiral. Torej v tej zadnji izdaji je baza podatkov, ki je obljubljala Full ACID, lahko izgubila zapis, ki ga je že potrdila. Hitrost je bila, predvidevam, odlična.

2:00 Jepsenov nasvet je jasen. Ustavite nadaljnje uvajanje ParticleDB in migrirajte na drugo zbirko podatkov čim prej mogoče. Orkes krivi spomladansko predelavo in pravi, da so njegovi lastni kupci, na starejši različici, verjetno niso bili prizadeti. Dokumentacija shranjenih procedur je celo izumila e-poštni naslov za Kylea Kingsburyja. Zgodba druga. Lenovo ThinkPlus FU sto je USB ključ s prstnim odtisom

Zgodba druga: kaj je bilo v USB ključku s prstnim odtisom Lenovo?

2:21 oglaševan kot strojno šifriran z AES dvesto šestinpetdeset. Varnostni raziskovalec Xusheng Li ga je razstavil in našel navadno SD kartico, na njej ni bilo ničesar šifriranega. Bralnik prstnih odtisov je odločal o eni stvari, ali se je ključek povezal z računalnikom. Datoteke na kartici nikoli niso bile odvisne od tega. Li je napako prijavil Lenovu avgusta dva tisoč petindvajset. Prvi popravek je bila plast epoksida čez SD kartico. Tako datoteke nikoli niso bile šifrirane.

2:47 Čakajte, ali je to samo SD kartica? Vedno je bila. Lenovo je svojo lastno opozorilo ocenil kot visoko. Kasnejši popravek, za FU sto in tri sorodne pogone, pomeni klicanje servisne linije na Kitajskem, nato pa bodisi pošiljanje pogona nazaj ali nadgradnjo vdelane programske opreme na kraju samem. Lenovo svetuje, da najprej izbrišete pogon. Prejšnji teden je Li usmeril OpenAIjev Codex, plus orodje za obratno inženirstvo svojega delodajalca,

3:09 na programsko opremo za zaščito USB drugih proizvajalcev. Netacovo je trajalo približno sedem minut, ker je imela vgrajen fiksni ključ in je geslo zapisovala v diagnostične dnevnike. En pogon je imel dva skrita računa, ki ju Li imenuje zadnja vrata. Če je varnost pogona v strojni opremi, preverite jo sami. Šifrirajte datoteke s programsko opremo, ki jo nadzorujete, preden dosežejo ključek, in prstni odtis obravnavajte kot priročnost.

Zgodba tri: kaj je Karpathy zgradil v enem dopoldnevu?

3:31 Zgodba tri, lahka. V petek zvečer je Andrej Karpathy odprl YouTube, videl, kar je imenoval "zasrana stena brozge", in v soboto zjutraj svojemu kodirnemu agentu naročil, naj zgradi zamenjavo iz vsega, kar priporoča Hacker News. Agent je prenesel komentarje Hacker News, filtriral neželeno pošto, in obdržal približno štirideset tisoč tistih, ki priporočajo videoposnetek YouTube. To je pustilo šest tisoč štiristo štiriinpetdeset videoposnetkov, od leta dva tisoč sedem do danes, v sto petdesetih temah.

3:58 Spletna stran je hackertube dot org. Prikazuje sličico iz sredine videoposnetka namesto sličice, ki jo je naložil naložitelj, kar malo zbode. Karpathy pravi, da je celotna izdelava trajala približno dve uri. Njegovi edini ročni koraki so bili Google API ključ, strežnik in domena. Dvanajstega oktobra sem vam povedal, da Karpathy meni, da dostop in naloge ustvarjajo vrzel v razumevanju teh orodij pri ljudeh. Dve uri dela je spodobna podatkovna točka.

4:21 Zgodba štiri, tista, na katero je treba ukrepati.

Zgodba štiri: kaj popravite za CVE-2026-98432?

4:23 CVE dvajset dvajset šest, osemindevetdeset štiristo dvaintrideset je use-after-free v IPv4 TCP "handshakeu" jedra Linuxa, ocenjena z devet točk osem od desetih. Do nje lahko dostopa oddaljeni uporabnik brez prijave. Eric Dumazet je popravek napisal prvega oktobra. Popravek je dosegel stabilna jedra enajstega in petnajstega oktobra, napaka pa sega v Linux štiri točke štiri. Red Hat je tridesetega oktobra svojo oceno dvignil iz pomembne na kritično. V soboto zvečer, Ubuntu in Red Hat Enterprise Linux še vedno nista navajala popravljenega

4:52 jedra. Anthropic pravi, da je Claude napisal delujoč izkoriščevalnik za strežnike z multipath TCP poslušalcem, in programi Go so te privzeto odprli od Go eno točko dvajset štiri. Ekipa Go opozarja, da so sistemi brez tega poslušalca lahko ranljivi za podobne napade, in pravi, da je najboljši popravek popravljeno jedro. Če vaša distribucija še nima popravljenega jedra, Red Hat in AlmaLinux objavljata pravilo požarnega zidu, ki zavrže IPv4 TCP pakete, ki vsebujejo IP možnosti. Red Hat pravi, da zmanjšuje izpostavljenost in je ne more popolnoma preprečiti.

5:23 Po tem, čakate. Kaj storiti danes. Namestite popravljeno jedro vaše distribucije in ponovno zaženite, tudi na gostiteljih kontejnerjev in vozliščih Kubernetes, ker kontejnerji delijo jedro gostitelja. Debian, Suse in Amazon Linux že imajo popravke. Če še ne morete namestiti popravka, začnite z gostitelji, ki poganjajo multipath TCP poslušalce. Sedaj obljubljena štoparica.

Nazaj k štoparici: koliko časa je trajal izkoristek?

5:44 V Anthropicovem lastnem dokazu koncepta traja osemindevetdeset minut za uhajanje kazalca jedra, nato pa še pet minut za izvedbo lupinskega ukaza. Anthropic izkoriščevalnika ni objavil. Če raje berete to, kot da bi me slišali govoriti, vam diff pristane v nabiralniku vsako jutro, brezplačno na the daily diff dot dev, povezava spodaj.

Sodba: REVERT

6:02 Torej današnja sodba je REVERT. Vrnila bi ParticleDB, ker je Jepsenov nasvet, da se ustavite z uvajanjem, in popravila bi to jedro, ker je opremljeno s štoparico. In to je razlika za danes. Sem Niko iz Axrisi. Odgovorno združujte.

Viri

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas