Raporti Jepsen për ParticleDB, shkopi USB me shenjë gishtash i Lenovo-s, HackerTube i Karpathy-t dhe gabimi TCP i Linux CVE-2026-98432: katër histori zhvilluesish në një Daily Diff

Çfarë mbulon kjo video

• Jepsen, laboratori i testimit të bazës së të dhënave i drejtuar nga Kyle Kingsbury, publikoi analizën e tij të ParticleDB më 31 tetor 2026. ParticleDB është një bazë të dhënash Rust nga Orkes që synon agjentët e AI; Orkes financoi punën. Jepsen testoi versionet 1.1.4 deri në 1.1.18.11.rc-22 në një nyje të vetme dhe paraqet 96 probleme, shumica e të cilave kërkonin një server, një klient dhe pa defekte. Shembuj në raport: një klauzolë WHERE 4 = 5 kthente rreshta me çelësin primar 5, WHERE TRUE nuk përputhej me asgjë, dhe një UPDATE mund të linte rreshta të shumta me të njëjtin çelës primar.
• Faqja kryesore e ParticleDB reklamonte 'ACID i Plotë. 159K TPS.' dhe një provë TLA+, por Jepsen thotë se asnjë specifikim TLA+ nuk ishte në dispozicion gjatë bashkëpunimit, dhe teksti nën 'ACID i Plotë' thoshte izolim snapshot. Në 1.1.18.11.rc-22, versioni i fundit që testoi Jepsen, modaliteti i parazgjedhur i transaksionit occ ende humbiste shkrime të kryera gjatë funksionimit normal, dhe modaliteti më i rreptë i serializueshëm lejonte Përditësimin e Humbur pas vrasjes së proceseve. Orkes thotë se versioni 1.1.19-rc.13 zgjidh të gjitha problemet e mbetura; Jepsen nuk e ka vlerësuar dhe rekomandon që përdoruesit të ndërpresin vendosjen e mëtejshme të ParticleDB dhe të migrojnë në baza të dhënash të tjera.
• Studiuesi i sigurisë Xusheng Li zbuloi se shkopi USB me shenjë gishtash Lenovo ThinkPlus FU100, i tregtuar si i kriptuar me harduer me AES-256, përmbante një kartë SD të thjeshtë, të dhënat e së cilës nuk ishin të kriptuara; lexuesi i shenjës së gishtit vetëm ndizte lidhjen USB. Ai e raportoi këtë më 2 gusht 2025, dhe rregullimi i parë i Lenovo-s ishte një shtresë epoksi mbi kartën SD. Lenovo vlerësoi këshillën e saj të lartë, dhe një rregullim i mëvonshëm për FU100 dhe disqet e lidhura kërkon thirrjen e një linje shërbimi në Kinë, më pas një zëvendësim ose një përditësim të firmuerit në vend, sipas Tom's Hardware.
• Në një ndjekje të raportuar nga Tom's Hardware, Li përdori Codex-in e OpenAI me mjetin e inxhinierisë së kundërt të punëdhënësit të tij kundër softuerit të mbrojtjes USB të prodhuesve të tjerë; ai i Netac-ut mori rreth shtatë minuta sepse kishte një çelës të fiksuar të ndërtuar dhe shkruante fjalëkalimin në regjistrat diagnostikues, dhe disku i një shitësi tjetër kishte dy llogari të fshehura që Li i quan prapavija. Për të dhënat në një shkop USB, kriptoni skedarët me softuerin që kontrolloni para se të arrijnë në pajisje.
• Më 31 tetor 2026, Andrej Karpathy përshkroi HackerTube, një faqe në stilin YouTube në hackertube.org e ndërtuar me agjentin e tij të kodimit në rreth dy orë. Agjenti shkarkoi komentet e Hacker News, filtroi spamin dhe mbajti rreth 40,000 që rekomandonin një video në YouTube, duke rezultuar në 6,454 video nga viti 2007 deri në 2026 në 150 tema. Faqja tregon kornizën në shenjën 50 për qind në vend të miniaturës së ngarkuar. Karpathy liston hapat e tij manualë si një çelës API i Google Cloud, një server dhe një domen.
• CVE-2026-98432 është një përdorim-pas-çlirimi në shtrëngimin e duarve të IPv4 TCP të kernelit të Linux, i vlerësuar CVSS 9.8, i arritshëm nga një bashkëmoshatar i largët pa hyrje. Rregullimi i Eric Dumazet zëvendësoi dy thirrje të thjeshta kfree me kfree_rcu në një "commit" të datës 1 tetor; kernelët stabilë me rregullimin u shpërndanë më 11 dhe 15 tetor, dhe gabimi daton në Linux 4.4. Red Hat rriti vlerësimin e tij nga "E rëndësishme" në "Kritike" më 30 tetor. Ubuntu dhe Red Hat Enterprise Linux nuk listonin asnjë kernel të rregulluar të shtunën mbrëma, 31 tetor. Instaloni kernelin e rregulluar të shpërndarjes suaj dhe rinisni, duke përfshirë hostet e kontejnerëve, sepse kontejnerët ndajnë kernelin e hostit.
• Anthropic thotë se Claude shkroi një shfrytëzim funksional për serverët Linux me një dëgjues TCP me shumë rrugë, dhe se në provën e konceptit të tij duhen 48 minuta për të zbuluar një tregues kerneli dhe pesë minuta të tjera për të ekzekutuar një komandë "shell"; shfrytëzimi nuk është publikuar. Ekipi i Sigurisë së Go thekson se programet Go aktivizojnë dëgjuesit TCP me shumë rrugë si parazgjedhje që nga Go 1.24 dhe paralajmëron se sistemet pa atë dëgjues mund të jenë të cenueshme ndaj sulmeve të ngjashme. Red Hat dhe AlmaLinux publikojnë një rregull firewall që heq paketat IPv4 TCP me opsione IP, të cilat Red Hat thotë se redukton ekspozimin dhe nuk e parandalon plotësisht shfrytëzimin.

Transkript i përkthyer

Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.

Hapje e ftohtë: si e thotë një klauzolë 'where' se katër është e barabartë me pesë?

0:00 Një bazë të dhënash që reklamoon ACID të Plotë duhet të mbajë atë që shkruani. Jepsen testoi një dhe gjeti nëntëdhjetë e gjashtë probleme, duke përfshirë një klauzolë 'where' që thoshte katër baraz me pesë dhe prapë kthente rreshta. Në këtë video, katër histori. Çfarë gjeti Jepsen në një bazë të dhënash që pretendonte ACID të Plotë? Çfarë ishte brenda një shkopi USB me shenjë gishtash i shitur si i kriptuar? Çfarë ndërtoi Andrej Karpathy në një mëngjes? Dhe çfarë rregulloni për një gabim të rrjetit Linux?

0:26 Një nga ato gabime vjen me një kronometër. Do t'ju e lexoj në fund. Është e diel, një nëntor, dhe ky është The Daily Diff. Jepsen është laboratori i testimit i Kyle Kingsbury. Ai kalon një bazë të dhënash nëpër ngarkesa dhe dështime reale dhe kontrollon nëse garancitë në uebfaqe qëndrojnë. Mendoni për një inspektor që në të vërtetë hap frigoriferin.

Historia e parë: çfarë gjeti Jepsen në ParticleDB?

0:44 Historia e parë. Të shtunën Jepsen publikoi raportin e tij mbi ParticleDB, një bazë të dhënash Rust nga Orkes që synon agjentët e AI. Orkes pagoi për punën. Faqja kryesore thoshte ACID i Plotë, njëqind e pesëdhjetë e nëntë mijë transaksione në sekondë. Jepsen testoi ParticleDB nga ndërtimi i tij i parë 1.1 në një kandidat të vonë për lëshim. Faqja e quajti atë e provuar formalisht, me një provë TLA plus. Jepsen thotë se asnjë specifikim TLA plus nuk ishte në dispozicion gjatë punës.

1:10 Nën linjën ACID të Plotë, e njëjta faqe thoshte izolim snapshot, i cili nuk është plotësisht i izoluar. Gabimet nuk ishin delikate. Shumica kërkonin një server, një klient dhe asnjë dështim të injektuar. Një klauzolë 'where' që thoshte katër baraz me pesë kthente rreshta. Një klauzolë 'where' që thoshte e vërtetë nuk përputhej me asgjë. Përditësimet lanë dy rreshta me të njëjtin çelës primar. Lëshimi i fundit që testoi Jepsen, kandidati për lëshim njëzet e dy,

1:36 ishte shumë më i sigurt. Megjithatë, modaliteti i parazgjedhur i transaksionit humbi shkrimet e kryera gjatë funksionimit normal. Modaliteti më i rreptë ende lejonte përditësime të humbura pas një vrasjeje procesi. Orkes thotë se lëshimi i saj i ardhshëm i rregullon të gjitha këto. Jepsen nuk e ka testuar. Pra, në atë lëshim të fundit, një bazë të dhënash që premtoi ACID të Plotë mund të humbiste një shkrim që e kishte kryer tashmë. Shpejtësia, mendoj, ishte e shkëlqyer.

2:00 Këshilla e Jepsen-it është e qartë. Ndaloni vendosjen e mëtejshme të ParticleDB dhe migroni në një bazë të dhënash tjetër sa më shpejt që të jetë e mundur. Orkes fajëson një riorganizim pranveror dhe thotë se klientët e saj, në një version më të vjetër, ka të ngjarë të mos jenë prekur. Dokumentet e procedurave të ruajtura madje shpikën një adresë emaili për Kyle Kingsbury. Historia e dytë. Lenovo ThinkPlus FU njëqind është një shkop USB me shenjë gishtash

Historia e dytë: çfarë ishte brenda shkopit USB me shenjë gishtash të Lenovo-s?

2:21 i tregtuar si i kriptuar me harduer me AES dyqind e pesëdhjetë e gjashtë. Studiuesi i sigurisë Xusheng Li çmontoi një dhe gjeti një kartë SD të zakonshme, pa asgjë të kriptuar në të. Lexuesi i shenjës së gishtit vendosi një gjë, nëse shkopi lidhej me kompjuterin. Skedarët në kartë nuk varen kurrë prej tij. Li raportoi të metën te Lenovo në gusht të njëzet e njëzet e pesë. Rregullimi i parë ishte një shtresë epoksi mbi kartën SD. Pra, skedarët nuk u kriptuan kurrë.

2:47 Prit, është thjesht një kartë SD? Ka qenë gjithmonë. Lenovo e vlerësoi këshillën e saj të lartë. Rregullimi i mëvonshëm, për FU njëqind dhe tre disqe të ngjashme, do të thotë të telefonosh një linjë shërbimi në Kinë, pastaj ose të dërgosh diskun prapa ose të bësh një përmirësim të firmuerit në vend. Lenovo këshillon fshirjen e diskut fillimisht. Javën e kaluar Li drejtoi Codex-in e OpenAI, plus mjetin e inxhinierisë së kundërt të punëdhënësit të tij,

3:09 në softuerin e mbrojtjes USB të prodhuesve të tjerë. Ai i Netac-ut mori rreth shtatë minuta, sepse kishte një çelës të fiksuar të ndërtuar dhe shkruante fjalëkalimin në regjistrat diagnostikues. Një disk kishte dy llogari të fshehura që Li i quan prapavija. Nëse siguria e një disku është hardueri, kontrolloni vetë. Kriptoni skedarët me softuerin që kontrolloni para se të arrijnë në shkop, dhe trajtojeni shenjën e gishtit si një lehtësi.

Historia e tretë: çfarë ndërtoi Karpathy në një mëngjes?

3:31 Historia e tretë, ajo e lehta. Të premten mbrëma Andrej Karpathy hapi YouTube, pa atë që ai e quajti një mur plehrash të ndotur, dhe të shtunën në mëngjes i tha agjentit të tij të kodimit të ndërtonte një zëvendësues nga çfarëdo që rekomandon Hacker News. Agjenti shkarkoi komentet e Hacker News, filtroi spamin, dhe mbajti rreth dyzet mijë që rekomandonin një video në YouTube. Kjo la gjashtë mijë e katërqind e pesëdhjetë e katër video, nga dymijë e shtatë deri tani, në njëqind e pesëdhjetë tema.

3:58 Faqja është hackertube.org. Ajo tregon kornizën nga mesi në vend të miniaturës që zgjodhi ngarkuesi, çka të lëndon pak. Karpathy thotë se i gjithë ndërtimi zgjati rreth dy orë. Hapat e tij manualë ishin vetëm një çelës API i Google, një server dhe një domen. Më dymbëdhjetë tetor ju thashë që Karpathy mendon se aksesi dhe detyrat krijojnë një hendek në mënyrën se si njerëzit i kuptojnë këto mjete. Dy orë punë janë një pikë e mirë të dhënash.

4:21 Historia e katërt, ajo për të vepruar.

Historia e katërt: çfarë rregulloni për CVE-2026-98432?

4:23 CVE njëzet e njëzet e gjashtë, nëntëdhjetë e tetë katërqind e tridhjetë e dy është një "use-after-free" në shtrëngimin e duarve I P v katër TCP të kernelit të Linux, e vlerësuar nëntë pikë tetë nga dhjetë. Një bashkëmoshatar i largët pa hyrje mund ta arrijë atë. Eric Dumazet shkroi rregullimin më një tetor. Rregullimi arriti në kernelët stabilë më njëmbëdhjetë dhe pesëmbëdhjetë tetor, dhe gabimi daton në Linux katër pikë katër. Red Hat rriti vlerësimin e tij nga e rëndësishme në kritike më tridhjetë tetor. Të shtunën mbrëma, Ubuntu dhe Red Hat Enterprise Linux ende nuk kishin listuar asnjë kernel të rregulluar.

4:52 . Anthropic thotë se Claude shkroi një shfrytëzim funksional për serverët me një dëgjues TCP me shumë rrugë, dhe programet Go i kanë hapur ato si parazgjedhje që nga Go një pikë njëzet e katër. Ekipi Go paralajmëron se sistemet pa atë dëgjues mund të jenë të cenueshme ndaj sulmeve të ngjashme, dhe thotë se rregullimi më i mirë është një kernel i rregulluar. Nëse shpërndarja juaj ende nuk ka një kernel të rregulluar, Red Hat dhe AlmaLinux publikojnë një rregull firewalli që heq paketat I P v katër TCP që mbajnë opsione IP. Red Hat thotë se redukton ekspozimin dhe nuk mund ta parandalojë plotësisht.

5:23 Pas kësaj, ju prisni. Çfarë të bëni sot. Instaloni kernelin e rregulluar të shpërndarjes suaj dhe rinisni, edhe në hostet e kontejnerëve dhe nyjet Kubernetes, sepse kontejnerët ndajnë kernelin e hostit. Debian, Suse dhe Amazon Linux tashmë kanë rregullime. Nëse nuk mund ta rregulloni ende, filloni me hostet që ekzekutojnë dëgjues TCP me shumë rrugë. Tani kronometri që premtova.

Kthehu te kronometri: sa kohë zgjati shfrytëzimi?

5:44 Në provën e konceptit të Anthropic, duhen dyzet e tetë minuta për të zbuluar një tregues kerneli, pastaj pesë minuta të tjera për të ekzekutuar një komandë "shell". Anthropic nuk e ka publikuar shfrytëzimin. Nëse preferoni ta lexoni këtë sesa të më dëgjoni mua ta them, the diff arrin në kutinë tuaj hyrëse çdo mëngjes, falas në the daily diff dot dev, linku më poshtë.

Vendimi: REVERT

6:02 Pra, vendimi i sotëm është REVERT. Do të ktheja ParticleDB, sepse këshilla e Jepsen-it është të ndalojmë vendosjen, dhe do ta rregulloja atë kernel, sepse vjen me një kronometër. Dhe kjo është diferenca për sot. Unë jam Niko nga Axrisi. Bashkojeni me përgjegjësi.

Burimet

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas