Јепсенов извештај за ParticleDB, Леновова УСБ меморија са отиском прста, Карпатијев HackerTube и Линукс ТЦП грешка CVE-2026-98432: четири приче о програмерима у једном Daily Diff-у

Шта овај видео покрива

• Јепсен, лабораторија за тестирање база података коју води Кајл Кингсбери, објавила је своју анализу ParticleDB-а 31. октобра 2026. ParticleDB је база података у Русту од компаније Orkes намењена АИ агентима; Orkes је финансирао рад. Јепсен је тестирао верзије 1.1.4 до 1.1.18.11.rc-22 на једном чвору и представио 96 проблема, од којих је већини био потребан један сервер, један клијент и никакви кварови. Примери у извештају: WHERE 4 = 5 клаузула је вратила редове са примарним кључем 5, WHERE TRUE није ништа подударало, а UPDATE је могао оставити више редова са истим примарним кључем.
• Почетна страница ParticleDB-а рекламирала је 'Потпун ACID. 159К ТПС.' и TLA+ доказ, али Јепсен каже да TLA+ спецификација није била доступна током сарадње, а текст под 'Потпун ACID' је говорио о изолацији снимка. У 1.1.18.11.rc-22, последњој верзији коју је Јепсен тестирао, подразумевани OCC режим трансакција је и даље губио потврђене уписе током нормалног рада, а најстрожији серијализовани режим је дозвољавао изгубљене исправке након гашења процеса. Orkes каже да верзија 1.1.19-rc.13 решава све преостале проблеме; Јепсен је није оценио и препоручује корисницима да зауставе даљу примену ParticleDB-а и мигрирају на друге базе података.
• Безбедносни истраживач Xusheng Li открио је да Леново ThinkPlus FU100 УСБ меморија са отиском прста, рекламирана као хардверски шифрована са AES-256, садржи обичну СД картицу чији подаци нису шифровани; читач отиска прста је само укључивао УСБ везу. Он је то пријавио 2. августа 2025, а Леновова прва исправка је био слој епоксида преко СД картице. Леново је свој савет оценио високим, а каснија исправка за FU100 и сродне дискове захтева позивање сервисне линије у Кини, затим замену или надоградњу фирмвера на лицу места, према Tom's Hardware-у.
• У наставку који је објавио Tom's Hardware, Li је користио OpenAI-јев Codex са алатом за обрнути инжењеринг свог послодавца против софтвера за УСБ заштиту других произвођача; Netac-овом је требало око седам минута јер је имао уграђен фиксни кључ и писао је лозинку у дијагностичке дневнике, а диск другог произвођача имао је два скривена налога које Li назива позадинским вратима. За податке на УСБ меморији, шифрујте датотеке софтвером који контролишете пре него што дођу до уређаја.
• 31. октобра 2026, Andrej Karpathy је описао HackerTube, сајт у стилу YouTube-а на hackertube.org изграђен са његовим агентом за кодирање за око два сата. Агент је преузео коментаре са Hacker News-а, филтрирао спам и задржао око 40.000 који препоручују YouTube видео, што је дало 6.454 видео записа од 2007. до 2026. године у 150 тема. Сајт приказује оквир на 50% уместо отпремљене сличице. Karpathy наводи своје ручне кораке као Google Cloud АПИ кључ, сервер и домен.
• CVE-2026-98432 је грешка "use-after-free" у руковању IPv4 TCP-а у Линукс кернелу, оцењена са CVSS 9.8, доступна удаљеном уређају без пријављивања. Поправка Ерика Думазета заменила је два обична позива kfree са kfree_rcu у промени од 1. октобра; стабилни кернели са поправком испоручени су 11. и 15. октобра, а грешка датира још од Линукса 4.4. Red Hat је 30. октобра подигао своју оцену са "Важно" на "Критично". Ubuntu и Red Hat Enterprise Linux нису навели поправљени кернел у суботу увече, 31. октобра. Инсталирајте поправљени кернел ваше дистрибуције и поново покрените систем, укључујући хостове контејнера, јер контејнери деле хост кернел.
• Anthropic каже да је Claude написао радни експлоит за Линукс сервере са "multipath TCP" слушаоцем, и да у свом доказу концепта треба 48 минута да процури показивач кернела и још пет минута да се покрене командна љуска; експлоит није објављен. Go Security Team напомиње да Go програми подразумевано омогућавају "multipath TCP" слушаоце од Go 1.24 и упозорава да системи без тог слушаоца могу бити рањиви на сличне нападе. Red Hat и AlmaLinux објављују правило заштитног зида које одбацује IPv4 TCP пакете са IP опцијама, за које Red Hat каже да смањује изложеност и не спречава у потпуности експлоатацију.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Хладни почетак: како клаузула WHERE може да каже четири једнако пет?

0:00 База података која рекламира пун ACID треба да задржи оно што напишете. Јепсен је једну тестирао и пронашао деведесет шест проблема, укључујући "where" клаузулу која је рекла четири једнако пет и ипак вратила редове. У овом видеу, четири приче. Шта је Јепсен пронашао у бази података која је тврдила пун ACID? Шта је било унутар УСБ меморије са отиском прста продаване као шифрована? Шта је Andrej Karpathy направио за једно јутро? И шта закрпити за Линукс мрежну грешку?

0:26 Једна од тих грешака долази са штоперицом. Прочитаћу вам је на крају. Недеља је, први новембар, и ово је The Daily Diff. Јепсен је лабораторија за тестирање Kyle Kingsbury-а. Изводи базу података кроз стварна оптерећења и кварове и проверава да ли су гаранције на веб страници валидне. Замислите инспектора који заправо отвара фрижидер.

Прва прича: шта је Јепсен пронашао у ParticleDB-у?

0:44 Прича прва. У суботу је Јепсен објавио свој извештај о ParticleDB-у, бази података у Русту од компаније Orkes намењеној АИ агентима. Orkes је платио рад. Почетна страница је рекла: „Потпун ACID, сто педесет девет хиљада трансакција у секунди.“ Јепсен је тестирао ParticleDB од његове прве 1.1 верзије до касније кандидатске верзије. Сајт га је назвао формално доказаним, са TLA+ доказом. Јепсен каже да TLA+ спецификација није била доступна током рада.

1:10 Под линијом „Потпун ACID“, иста страница је рекла „изолација снимка“, што није потпуно изоловано. Грешке нису биле суптилне. Већини је био потребан један сервер, један клијент и никакве грешке нису биле убачене. Клаузула "where" која је рекла четири једнако пет вратила је редове. Клаузула "where" која је рекла "true" није ништа подударила. Ажурирања су оставила два реда са истим примарним кључем. Последње издање које је Јепсен тестирао, издање кандидат 22,

1:36 било је много сигурније. Чак и тако, подразумевани режим трансакција губио је потврђене уписе током нормалног рада. Најстрожи режим је и даље дозвољавао изгубљене исправке након гашења процеса. Orkes каже да његово следеће издање све ово поправља. Јепсен га није тестирао. Тако да је у том последњем издању база података која је обећавала "Фулл ACID" могла да изгуби упис који је већ била потврдила. Брзина је, претпостављам, била одлична.

2:00 Јепсенов савет је јасан. Зауставите даљу примену ParticleDB-а и мигрирајте на другу базу података што је пре могуће. Orkes криви пролећни рефакторинг и каже да његови клијенти, на старијој верзији, вероватно нису били погођени. Документација ускладиштене процедуре је чак измислила е-адресу за Kyle Kingsbury-а. Прича друга. Леново ThinkPlus FU сто је УСБ меморија са отиском прста

Друга прича: шта је било у Леново УСБ меморији са отиском прста?

2:21 која се продаје као хардверски шифрована са АЕС двеста педесет шест. Безбедносни истраживач Xusheng Li је раставио једну и пронашао обичну СД картицу, без икаквог шифровања на њој. Читач отиска прста је одлучивао само једну ствар, да ли се меморија повезала са рачунаром. Датотеке на картици никада нису зависиле од тога. Ли је пријавио грешку Ленову у августу двадесет двадесет пете. Прво решење је био слој епоксида преко СД картице. Дакле, фајлови никада нису били шифровани.

2:47 Чекај, то је само СД картица? Увек је била. Леново је свој савет оценио високим. Каснија исправка, за FU сто и три сродна диска, подразумева позивање сервисне линије у Кини, затим или враћање диска или добијање надоградње фирмвера на лицу места. Леново саветује да прво обришете диск. Прошле недеље, Li је усмерио OpenAI-јев Codex, плус алатку за обрнути инжењеринг свог послодавца,

3:09 на софтвер за УСБ заштиту других произвођача. Netac-овом је требало око седам минута, јер је имао уграђен фиксни кључ и уписивао је лозинку у дијагностичке дневнике. Један диск је имао два скривена налога које Ли назива задњим вратима. Ако је безбедност диска хардверска, проверите је сами. Шифрујте датотеке софтвером који контролишете пре него што доспеју на УСБ меморију, и третирајте отисак прста као погодност.

Трећа прича: шта је Карпати направио за једно јутро?

3:31 Прича трећа, она лака. У петак увече, Андреј Карпати је отворио YouTube, видео је оно што је назвао „окаљаним зидом глупости“, и у суботу ујутру рекао свом агенту за кодирање да направи замену на основу препорука са Hacker News-а. Агент је преузео коментаре са Hacker News-а, филтрирао нежељену пошту, и задржао око четрдесет хиљада који препоручују YouTube видео. То је оставило шест хиљада четири стотине педесет четири видео снимка, од две хиљаде седме до сада, у сто педесет тема.

3:58 Сајт је hackertube dot org. Приказује оквир са половине уместо сличице коју је постављач изабрао, што мало боли. Карпати каже да је цела изградња трајала око два сата. Његови једини ручни кораци били су кључ Гоогле АПИ-ја, сервер и домен. Дванаестог октобра сам вам рекао да Карпати сматра да приступ и задаци стварају јаз у начину на који људи разумеју ове алате. Два сата рада је пристојна тачка података.

4:21 Прича четврта, она на коју треба реаговати.

Четврта прича: шта закрпити за CVE-2026-98432?

4:23 CVE две хиљаде двадесет шесте, деведесет осам четрдесет тридесет два је "use-after-free" у руковању IPv4 TCP-а у Линукс кернелу, оцењен са девет тачка осам од десет. Може му приступити удаљени уређај без пријављивања. Ерик Думазе је написао исправку 1. октобра. Поправка је стигла до стабилних кернела 11. и 15. октобра, а грешка датира још од Линукса 4.4. Red Hat је подигао своју оцену са "важно" на "критично" 30. октобра. У суботу увече, Ubuntu и Red Hat Enterprise Linux и даље нису навели поправљени

4:52 кернел. Anthropic каже да је Claude написао радни експлоит за сервере са "multipath TCP" слушаоцем, а Go програми су их подразумевано отворили од Go 1.24. Go тим упозорава да системи без тог слушаоца могу бити рањиви на сличне нападе и каже да је најбоље решење закрпљен кернел. Ако ваша дистрибуција још увек нема поправљени кернел, Red Hat и AlmaLinux објављују правило заштитног зида које одбацује IPv4 TCP пакете који носе IP опције. Red Hat каже да то смањује изложеност и не може у потпуности да је спречи.

5:23 После тога, чекаш. Шта радити данас. Инсталирајте закрпљени кернел ваше дистрибуције и поново покрените систем, на хостовима контејнера и Kubernetes чворовима такође, јер контејнери деле хост кернел. Debian, Suse и Amazon Linux већ имају исправке. Ако још увек не можете да закрпите, почните са хостовима који покрећу multipath TCP слушаоце. Сада штоперица коју сам обећао.

Повратак на штоперицу: колико је времена требао експлоит?

5:44 У Anthropic-овом сопственом доказу концепта, потребно је четрдесет осам минута да се процури показивач кернела, а затим још пет минута да се покрене командна љуска. Anthropic није објавио експлоит. Ако више волите да ово прочитате него да ме чујете, "diff" стиже у ваше поштанско сандуче сваког јутра, бесплатно на the daily diff dot dev, линк испод.

Пресуда: REVERT

6:02 Дакле, данашња пресуда је REVERT. Вратио бих ParticleDB, јер Јепсенов савет је да се заустави примена, и закрпио бих тај кернел, јер долази са штоперицом. И то је "diff" за данас. Ја сам Нико из Axrisi-ја. Спајајте одговорно.

Извори

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas