ParticleDB:s Jepsen-rapport, Lenovos USB-minne med fingeravtryck, Karpathys HackerTube och Linux TCP-buggen CVE-2026-98432: fyra utvecklarberättelser i en Daily Diff

Vad den här videon täcker

• Jepsen, databastestlabbet som drivs av Kyle Kingsbury, publicerade sin analys av ParticleDB den 31 oktober 2026. ParticleDB är en Rust-databas från Orkes avsedd för AI-agenter; Orkes finansierade arbetet. Jepsen testade versionerna 1.1.4 till 1.1.18.11.rc-22 på en enda nod och presenterade 96 problem, varav de flesta behövde en server, en klient och inga fel. Exempel i rapporten: en WHERE 4 = 5-klausul returnerade rader med primärnyckel 5, WHERE TRUE matchade inget, och en UPDATE kunde lämna flera rader med samma primärnyckel.
• ParticleDB:s hemsida annonserade 'Full ACID. 159K TPS.' och ett TLA+-bevis, men Jepsen säger att ingen TLA+-specifikation fanns tillgänglig under samarbetet, och texten under 'Full ACID' nämnde "snapshot isolation". I 1.1.18.11.rc-22, den sista versionen Jepsen testade, förlorade det standardmässiga "occ transaction mode" fortfarande bekräftade skrivningar under normal drift, och det striktaste "serializable mode" tillät "Lost Update" efter processdöd. Orkes säger att version 1.1.19-rc.13 löser alla återstående problem; Jepsen har inte utvärderat den och rekommenderar att användare stoppar ytterligare utrullning av ParticleDB och migrerar till andra databaser.
• Säkerhetsforskaren Xusheng Li upptäckte att Lenovo ThinkPlus FU100 USB-minnet med fingeravtryck, marknadsfört som hårdvarukrypterat med AES-256, innehöll ett vanligt SD-kort vars data inte var krypterad; fingeravtrycksläsaren kopplade bara in USB-anslutningen. Han rapporterade det den 2 augusti 2025, och Lenovos första fix var ett lager epoxi över SD-kortet. Lenovo bedömde sin rådgivning som hög, och en senare fix för FU100 och relaterade enheter kräver att man ringer en servicelinje i Kina, sedan en ersättning eller en uppgradering av firmware på plats, enligt Tom's Hardware.
• I en uppföljning som rapporterades av Tom's Hardware använde Li OpenAI:s Codex med sin arbetsgivares omvända ingenjörsverktyg mot andra tillverkares USB-skyddsprogramvara; Netacs tog cirka sju minuter eftersom den hade en inbyggd fast nyckel och skrev lösenordet till diagnostikloggar, och en annan leverantörs enhet hade två dolda konton som Li kallar bakdörrar. För data på ett USB-minne, kryptera filer med programvara du kontrollerar innan de når enheten.
• Den 31 oktober 2026 beskrev Andrej Karpathy HackerTube, en YouTube-liknande sida på hackertube.org byggd med hans kodningsagent på cirka två timmar. Agenten laddade ner Hacker News-kommentarer, filtrerade bort spam och behöll cirka 40 000 som rekommenderade en YouTube-video, vilket gav 6 454 videor från 2007 till 2026 över 150 ämnen. Sidan visar bilden vid 50 procentsmärket istället för den uppladdade miniatyrbilden. Karpathy listar sina manuella steg som en Google Cloud API-nyckel, en server och en domän.
• CVE-2026-98432 är en "use-after-free" i Linux-kärnans IPv4 TCP-handskakning, med CVSS-poäng 9.8, nåbar av en fjärrklient utan inloggning. Eric Dumazets fix ersatte två vanliga "kfree"-anrop med "kfree_rcu" i en commit daterad den 1 oktober; stabila kärnor med fixen släpptes den 11 och 15 oktober, och buggen går tillbaka till Linux 4.4. Red Hat höjde sitt betyg från "Important" till "Critical" den 30 oktober. Ubuntu och Red Hat Enterprise Linux listade ingen fixad kärna på lördagskvällen, den 31 oktober. Installera din distributions fixade kärna och starta om, inklusive containerhostar, eftersom containers delar värdkärnan.
• Anthropic säger att Claude skrev en fungerande exploit för Linux-servrar med en multipath TCP-lyssnare, och att det i deras "proof of concept" tar 48 minuter att läcka en kärnpekare och fem minuter till att köra ett skal-kommando; exploiten är inte publicerad. Go Security Team noterar att Go-program aktiverar multipath TCP-lyssnare som standard sedan Go 1.24 och varnar att system utan den lyssnaren kan vara sårbara för liknande attacker. Red Hat och AlmaLinux publicerar en brandväggsregel som släpper IPv4 TCP-paket med IP-alternativ, vilket Red Hat säger minskar exponeringen men inte helt förhindrar utnyttjande.

Översatt transkription

Översatt från den ursprungliga engelska berättelsen. Tillgängligt ljud och undertexter styrs av YouTube.

Kall öppning: hur kan en WHERE-klausul säga att fyra är lika med fem?

0:00 En databas som annonserar Full ACID ska behålla det du skriver. Jepsen testade en och hittade nittiosex problem, inklusive en where-klausul som sade fyra är lika med fem och ändå returnerade rader. I den här videon, fyra berättelser. Vad hittade Jepsen i en databas som påstod sig vara Full ACID? Vad fanns inuti ett USB-minne med fingeravtryck som såldes som krypterat? Vad byggde Andrej Karpathy på en förmiddag? Och vad ska du patcha för en Linux nätverksbugg?

0:26 En av dessa buggar kommer med ett tidtagarur. Jag läser upp det för dig i slutet. Det är söndag, första november, och detta är The Daily Diff. Jepsen är Kyle Kingsburys testlabb. Den kör en databas genom verkliga arbetslaster och fel och kontrollerar om garantierna på webbplatsen håller. Tänk dig en inspektör som faktiskt öppnar kylskåpet.

Berättelse ett: vad hittade Jepsen i ParticleDB?

0:44 Berättelse ett. På lördagen publicerade Jepsen sin rapport om ParticleDB, en Rust-databas från Orkes avsedd för AI-agenter. Orkes betalade för arbetet. Hemsidan sade Full ACID, etthundrafemtioniotusentransaktioner per sekund. Jepsen testade ParticleDB från dess första 1.1-byggnad till en sen releasekandidat. Sidan kallade den formellt bevisad, med ett TLA+-bevis. Jepsen säger att ingen TLA+-specifikation fanns tillgänglig under arbetet.

1:10 Under raden Full ACID stod det på samma sida snapshot isolation, vilket inte är helt isolerat. Buggar var inte subtila. De flesta behövde en server, en klient och inga fel injicerade. En where-klausul som sade fyra är lika med fem returnerade rader. En where-klausul som sade sant matchade inget. Uppdateringar lämnade två rader med samma primärnyckel. Den senaste versionen Jepsen testade, releasekandidat tjugotvå,

1:36 var mycket säkrare. Ändå förlorade standardtransaktionsläget bekräftade skrivningar under normal drift. Det striktaste läget tillät fortfarande förlorade uppdateringar efter en processavstängning. Orkes säger att nästa version åtgärdar allt detta. Jepsen har inte testat den. Så i den senaste versionen kunde en databas som lovade Full ACID förlora en skrivning den redan hade bekräftat. Hastigheten, antar jag, var utmärkt.

2:00 Jepsens råd är tydligt. Stoppa ytterligare utrullning av ParticleDB och migrera till en annan databas så snart som möjligt. Orkes skyller på en omstrukturering under våren och säger att deras egna kunder, som använder en äldre version, troligen inte påverkades. Dokumentationen för lagrade procedurer uppfann till och med en e-postadress för Kyle Kingsbury. Berättelse två. Lenovo ThinkPlus FU100 är ett USB-minne med fingeravtryck

Berättelse två: vad fanns inuti Lenovos USB-minne med fingeravtryck?

2:21 marknadsfört som hårdvarukrypterat med AES-256. Säkerhetsforskaren Xusheng Li tog isär ett och hittade ett vanligt SD-kort, med inget på det krypterat. Fingeravtrycksläsaren avgjorde en sak: om minnet anslöt till datorn. Filerna på kortet berodde aldrig på det. Li rapporterade felet till Lenovo i augusti tjugohundratjugofem. Den första fixen var ett lager epoxi över SD-kortet. Så filerna var aldrig krypterade.

2:47 Vänta, det är bara ett SD-kort? Det har det alltid varit. Lenovo bedömde sin egen rådgivning som hög. Den senare fixen, för FU100 och tre relaterade enheter, innebär att ringa en servicelinje i Kina, sedan antingen skicka tillbaka enheten eller få en firmware-uppgradering på plats. Lenovo rekommenderar att man torkar rent enheten först. Förra veckan använde Li OpenAI:s Codex, plus sin arbetsgivares omvända ingenjörsverktyg,

3:09 på andra tillverkares USB-skyddsprogramvara. Netacs tog cirka sju minuter, eftersom det hade en fast nyckel inbyggd och skrev lösenordet till diagnostikloggar. En enhet hade två dolda konton som Li kallar bakdörrar. Om en enhets säkerhet är hårdvaran, kontrollera den själv. Kryptera filerna med programvara du kontrollerar innan de når minnet, och behandla fingeravtrycket som en bekvämlighet.

Berättelse tre: vad byggde Karpathy på en förmiddag?

3:31 Berättelse tre, den lätta. På fredagskvällen öppnade Andrej Karpathy YouTube, såg vad han kallade en förslösad vägg av slask, och på lördagsmorgonen bad han sin kodningsagent att bygga en ersättning från vad Hacker News rekommenderar. Agenten laddade ner Hacker News-kommentarerna, filtrerade bort spam, och behöll cirka fyrtio tusen som rekommenderade en YouTube-video. Det lämnade sex tusen fyra hundra femtiofyra videor, från två tusen sju till nu, inom etthundrafemtio ämnen.

3:58 Webbplatsen är hackertube.org. Den visar bilden från halvvägsmärket istället för den miniatyrbild uppladdaren valde, vilket svider lite. Karpathy säger att hela bygget tog cirka två timmar. Hans enda manuella steg var en Google API-nyckel, en server och en domän. Den tolfte oktober berättade jag att Karpathy anser att åtkomst och uppgifter skapar en klyfta i hur människor förstår dessa verktyg. Två timmars arbete är en anständig datapunkten.

4:21 Berättelse fyra, den att agera på.

Berättelse fyra: vad ska du patcha för CVE-2026-98432?

4:23 CVE-2026-98432 är en use-after-free i Linux-kärnans IPv4 TCP-handskakning, med betyget 9.8 av tio. En fjärrpartner utan inloggning kan nå den. Eric Dumazet skrev fixen den första oktober. Fixen nådde stabila kärnor den elfte och femtonde oktober, och buggen går tillbaka till Linux 4.4. Red Hat höjde sitt betyg från viktig till kritisk den trettionde oktober. På lördagskvällen listade Ubuntu och Red Hat Enterprise Linux fortfarande ingen fixad kärna.

4:52 Anthropic säger att Claude skrev en fungerande exploit för servrar med en multipath TCP lyssnare, och Go-program har öppnat dessa som standard sedan Go 1.24. Go-teamet varnar att system utan den lyssnaren kan vara sårbara för liknande attacker, och säger att den bästa fixen är en patchad kärna. Om din distribution inte har någon fixad kärna ännu, publicerar Red Hat och AlmaLinux en brandväggsregel som släpper IPv4 TCP-paket som innehåller IP-alternativ. Red Hat säger att det minskar exponeringen och inte helt kan förhindra den. Efter det väntar du.

5:23 Vad du ska göra idag. Installera din distributions fixade kärna och starta om, även på containerhostar och Kubernetes-noder, eftersom containrar delar värdkärnan. Debian, Suse och Amazon Linux har redan fixar. Om du inte kan patcha ännu, börja med värdar som kör multipath TCP-lyssnare. Nu tidtagaruret jag lovade. I Anthropics eget proof of concept tar det fyrtioåtta minuter att läcka en

Tillbaka till tidtagaruret: hur lång tid tog exploiten?

5:44 kärnpekare, sedan ytterligare fem minuter att köra ett skal-kommando. Anthropic har inte publicerat exploiten. Om du hellre vill läsa detta än att höra mig säga det, landar The Daily Diff i din inkorg varje morgon, gratis på thedailydiff.dev, länk nedan. Dagens dom är REVERT.

Dom: REVERT

6:02 Jag skulle återställa ParticleDB, eftersom Jepsens råd är att stoppa utrullningen, och jag skulle patcha den kärnan, eftersom den kommer med ett tidtagarur. Och det var dagens diff. Jag är Niko från Axrisi. Slå ihop ansvarsfullt. Slå ihop ansvarsfullt.

Källor

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas