Ripoti ya Jepsen ya ParticleDB, fimbo ya USB ya alama za vidole ya Lenovo, HackerTube ya Karpathy na hitilafu ya Linux TCP CVE-2026-98432: hadithi nne za wasanidi programu katika Daily Diff moja

Nini video hii inashughulikia

• Jepsen, maabara ya kupima hifadhidata inayoendeshwa na Kyle Kingsbury, ilichapisha uchambuzi wake wa ParticleDB mnamo Oktoba 31, 2026. ParticleDB ni hifadhidata ya Rust kutoka Orkes inayolenga mawakala wa AI; Orkes walifadhili kazi hiyo. Jepsen alijaribu matoleo 1.1.4 hadi 1.1.18.11.rc-22 kwenye nodi moja na inawasilisha masuala 96, mengi yao yalihitaji seva moja, mteja mmoja na hakuna makosa. Mifano katika ripoti: kifungu cha WHERE 4 = 5 kilirudisha safu zenye kitufe cha msingi 5, WHERE TRUE hakilingana na chochote, na UPDATE inaweza kuacha safu nyingi zenye kitufe kimoja cha msingi.
• Ukurasa wa nyumbani wa ParticleDB ulitangaza 'ACID Kamili. 159K TPS.' na ushahidi wa TLA+, lakini Jepsen anasema hakukuwa na vipimo vya TLA+ vilivyopatikana wakati wa ushirikiano, na maandishi chini ya 'ACID Kamili' yalisema utengaji wa picha. Katika 1.1.18.11.rc-22, toleo la mwisho Jepsen alilolijaribu, hali ya miamala chaguomsingi bado ilipoteza hati zilizoahidiwa wakati wa operesheni ya kawaida, na hali kali zaidi ya kusanifisha iliruhusu Usasishaji Uliopotea baada ya kuua mchakato. Orkes anasema toleo la 1.1.19-rc.13 linasuluhisha masuala yote yaliyobaki; Jepsen haijaiangalia na inapendekeza watumiaji wasitishe usambazaji zaidi wa ParticleDB na wahamie kwenye hifadhidata zingine.
• Mtafiti wa usalama Xusheng Li aligundua kuwa fimbo ya USB ya alama za vidole ya Lenovo ThinkPlus FU100, iliyouzwa kama iliyosimbwa kwa vifaa na AES-256, ilikuwa na kadi ya SD ya kawaida ambayo data yake haikusimbwa; kisoma alama za vidole kilikuwa kinawasha tu muunganisho wa USB. Aliripoti mnamo Agosti 2, 2025, na suluhisho la kwanza la Lenovo lilikuwa safu ya epoxy juu ya kadi ya SD. Lenovo ilikadiria ushauri wake kuwa wa juu, na suluhisho la baadaye la FU100 na anatoa zinazohusiana linahitaji kupiga simu ya huduma nchini China, kisha uingizwaji au uboreshaji wa firmware kwenye tovuti, kulingana na Tom's Hardware.
• Katika ufuatiliaji ulioripotiwa na Tom's Hardware, Li alitumia Codex ya OpenAI na zana ya uhandisi wa kurudi nyuma ya mwajiri wake dhidi ya programu ya ulinzi ya USB ya watengenezaji wengine; ile ya Netac ilichukua kama dakika saba kwa sababu ilikuwa na kitufe maalum kilichojengwa ndani na iliandika nenosiri kwenye kumbukumbu za uchunguzi, na diski ya muuzaji mwingine ilikuwa na akaunti mbili zilizofichwa ambazo Li anaziita milango ya nyuma. Kwa data kwenye fimbo ya USB, simba faili kwa programu unayoidhibiti kabla hazijafika kwenye kifaa.
• Mnamo Oktoba 31, 2026, Andrej Karpathy alielezea HackerTube, tovuti ya mtindo wa YouTube kwenye hackertube.org iliyoundwa na wakala wake wa kuweka kodi kwa takriban saa mbili. Wakala huyo alipakua maoni ya Hacker News, akachuja barua taka na kuweka takriban 40,000 zinazopendekeza video ya YouTube, na kutoa video 6,454 kuanzia 2007 hadi 2026 katika mada 150. Tovuti inaonyesha fremu kwenye alama ya asilimia 50 badala ya kijipicha kilichopakiwa. Karpathy anaorodhesha hatua zake za mikono kama kitufe cha API cha Google Cloud, seva na kikoa.
• CVE-2026-98432 ni matumizi-baada-ya-bure katika handshake ya IPv4 TCP ya Linux kernel, iliyopewa alama CVSS 9.8, inayoweza kufikiwa na rika la mbali bila kuingia. Marekebisho ya Eric Dumazet yalibadilisha simu mbili za kfree wazi na kfree_rcu katika ahadi iliyopakiwa Oktoba 1; kerneli thabiti na marekebisho yalitolewa Oktoba 11 na 15, na hitilafu inarudi hadi Linux 4.4. Red Hat ilipandisha ukadiriaji wake kutoka Muhimu hadi Hatarishi mnamo Oktoba 30. Ubuntu na Red Hat Enterprise Linux hazikuorodhesha kernel iliyorekebishwa Jumamosi jioni, Oktoba 31. Sakinisha kernel iliyorekebishwa ya usambazaji wako na uwashe upya, pamoja na wapangishi wa kontena, kwa sababu kontena hushiriki kernel ya mpangishi.
• Anthropic anasema Claude aliandika utumiaji unaofanya kazi kwa seva za Linux na kisikilizaji cha TCP cha njia nyingi, na kwamba katika uthibitisho wake wa dhana inachukua dakika 48 kuvujisha pointer ya kernel na dakika tano zaidi kuendesha amri ya shell; utumiaji haujachapishwa. Timu ya Usalama ya Go inabainisha kuwa programu za Go huwezesha wasikilizaji wa TCP wa njia nyingi kwa chaguo-msingi tangu Go 1.24 na inaonya kuwa mifumo isiyo na kisikilizaji hicho inaweza kuathiriwa na mashambulizi kama hayo. Red Hat na AlmaLinux huchapisha sheria ya ngome ambayo huacha pakiti za IPv4 TCP zenye chaguo za IP, ambayo Red Hat inasema hupunguza kufichuliwa na haizuii kabisa utumiaji.

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

Ufunguzi baridi: kifungu cha 'where' kinasemaje nne sawa na tano?

0:00 Hifadhidata inayotangaza ACID Kamili inatakiwa kuhifadhi kile unachoandika. Jepsen alijaribu moja na akapata masuala tisini na sita, ikiwemo kifungu cha 'where' ambacho kilisema nne sawa na tano na bado kikarudisha safu. Katika video hii, hadithi nne. Jepsen aligundua nini katika hifadhidata iliyodai ACID Kamili? Kulikuwa na nini ndani ya fimbo ya USB ya alama za vidole iliyouzwa kama iliyosimbwa? Andrej Karpathy alijenga nini asubuhi moja? Na unafanya nini kurekebisha hitilafu ya mtandao ya Linux?

0:26 Moja ya hitilafu hizo inakuja na kipima saa. Nitakusomea mwishoni. Ni Jumapili, Novemba Mosi, na hii ni The Daily Diff. Jepsen ni maabara ya majaribio ya Kyle Kingsbury. Inapitisha hifadhidata kupitia mizigo halisi ya kazi na kushindwa na huangalia ikiwa dhamana kwenye tovuti zinashikiliwa. Fikiria mkaguzi anayefungua friji kweli.

Hadithi ya kwanza: Jepsen aligundua nini katika ParticleDB?

0:44 Hadithi ya kwanza. Jumamosi Jepsen alichapisha ripoti yake kuhusu ParticleDB, hifadhidata ya Rust kutoka Orkes inayolenga mawakala wa AI. Orkes walilipa kwa kazi hiyo. Ukurasa wa nyumbani ulisema ACID Kamili, miamala elfu mia moja hamsini na tisa kwa sekunde. Jepsen alijaribu ParticleDB kutoka toleo lake la kwanza la 1.1 hadi mgombea wa toleo la mwisho. Tovuti iliita rasmi imethibitishwa, na uthibitisho wa TLA plus. Jepsen anasema hakukuwa na vipimo vya TLA plus vilivyopatikana wakati wa kazi.

1:10 Chini ya mstari wa ACID Kamili, ukurasa huo huo ulisema utengaji wa picha, ambayo haijatengwa kikamilifu. Hitilafu hazikuwa ngumu. Nyingi zilihataji seva moja, mteja mmoja na hakuna kushindwa kulikowekwa. Kifungu cha 'where' kilichosema nne sawa na tano kilirudisha safu. Kifungu cha 'where' kilichosema 'true' hakilingana na chochote. Sasisho ziliacha safu mbili zenye kitufe kimoja cha msingi. Toleo la mwisho Jepsen alilolijaribu, toleo la ishirini na mbili la mgombea,

1:36 lilikuwa salama zaidi. Hata hivyo, hali ya miamala chaguomsingi ilipoteza hati zilizoahidiwa wakati wa operesheni ya kawaida. Hali kali zaidi bado iliruhusu masasisho yaliyopotea baada ya kuua mchakato. Orkes anasema toleo lake lijalo litarekebisha yote haya. Jepsen hajaifanyia majaribio. Kwa hivyo katika toleo hilo la mwisho hifadhidata iliyoahidi ACID Kamili inaweza kupoteza uandishi ambao tayari imeuahidi. Kasi, nadhani, ilikuwa nzuri.

2:00 Ushauri wa Jepsen ni wazi. Sitisha usambazaji zaidi wa ParticleDB na uhamie kwenye hifadhidata nyingine haraka iwezekanavyo. Orkes analaumu ukarabati wa spring na anasema wateja wake mwenyewe, katika toleo la zamani, labda hawakuathirika. Nyaraka za utaratibu uliotunzwa hata zilibuni anwani ya barua pepe ya Kyle Kingsbury. Hadithi ya pili. Lenovo ThinkPlus FU mia moja ni fimbo ya USB ya alama za vidole

Hadithi ya pili: kulikuwa na nini ndani ya fimbo ya USB ya alama za vidole ya Lenovo?

2:21 inayouzwa kama iliyosimbwa kwa maunzi na AES mia mbili hamsini na sita. Mtafiti wa usalama Xusheng Li alitenganisha moja na akapata kadi ya SD ya kawaida, isiyosimbwa chochote. Kisoma alama za vidole kiliamua jambo moja, kama fimbo imeunganishwa na kompyuta. Faili kwenye kadi hazikuwahi kutegemea hilo. Li aliripoti dosari hiyo kwa Lenovo mnamo Agosti ishirini na tano. Marekebisho ya kwanza yalikuwa safu ya epoxy juu ya kadi ya SD. Kwa hivyo faili hazikuwahi kusimbwa.

2:47 Subiri, ni kadi ya SD tu? Imekuwa hivyo daima. Lenovo ilikadiria ushauri wake kuwa wa juu. Marekebisho ya baadaye, kwa FU mia moja na anatoa tatu zinazohusiana, yanamaanisha kupiga simu ya huduma nchini China, kisha aidha kurudisha diski au kupata uboreshaji wa firmware kwenye tovuti. Lenovo inashauri kufuta diski kwanza. Wiki iliyopita Li alielekeza Codex ya OpenAI, pamoja na zana ya uhandisi wa kinyume ya mwajiri wake,

3:09 kwenye programu ya ulinzi ya USB ya watengenezaji wengine. Ile ya Netac ilichukua kama dakika saba, kwa sababu ilikuwa na kitufe maalum kilichojengwa ndani na iliandika nenosiri kwenye kumbukumbu za uchunguzi. Diski moja ilikuwa na akaunti mbili zilizofichwa ambazo Li anaziita milango ya nyuma. Ikiwa usalama wa diski ni maunzi, iangalie mwenyewe. Simbika faili na programu unayoidhibiti kabla hazijafika kwenye fimbo, na chambua alama za vidole kama urahisi.

Hadithi ya tatu: Karpathy alijenga nini asubuhi moja?

3:31 Hadithi ya tatu, ile nyepesi. Ijumaa jioni Andrej Karpathy alifungua YouTube, akaona kile alichokiita 'ukuta wa matope uliopitiliza', na Jumamosi asubuhi akamwambia wakala wake wa kuweka kodi ajenge mbadala kutoka kwa kile ambacho Hacker News inapendekeza. Wakala huyo alipakua maoni ya Hacker News, akachuja barua taka, na akaweka takriban elfu arobaini zinazopendekeza video ya YouTube. Hiyo iliacha video elfu sita mia nne hamsini na nne, kuanzia miaka elfu mbili na saba hadi sasa, katika mada mia moja hamsini.

3:58 Tovuti ni hackertube dot org. Inaonyesha fremu kutoka katikati badala ya kijipicha ambacho mpakiaji alichagua, ambayo inaumiza kidogo. Karpathy anasema ujenzi mzima ulichukua kama saa mbili. Hatua zake pekee za mikono zilikuwa kitufe cha Google API, seva na kikoa. Mnamo Oktoba kumi na mbili nilikuambia Karpathy anafikiri ufikiaji na kazi huunda pengo katika jinsi watu wanavyoelewa zana hizi. Saa mbili za kazi ni sehemu nzuri ya data.

4:21 Hadithi ya nne, ile ya kuchukua hatua.

Hadithi ya nne: unafanya nini kurekebisha CVE-2026-98432?

4:23 CVE ishirini na ishirini na sita, tisini na nane nne thelathini na mbili ni 'use-after-free' katika handshake ya IPv4 TCP ya Linux kernel, iliyopewa alama tisa nukta nane kati ya kumi. Rika la mbali lisilo na kuingia linaweza kuifikia. Eric Dumazet aliandika marekebisho mnamo Oktoba mosi. Marekebisho yalifikia kerneli thabiti mnamo Oktoba kumi na moja na kumi na tano, na hitilafu inarudi nyuma hadi Linux nne nukta nne. Red Hat ilipandisha ukadiriaji wake kutoka muhimu hadi hatari mnamo Oktoba thelathini. Jumamosi jioni, Ubuntu na Red Hat Enterprise Linux bado hazikuorodhesha kernel

4:52 iliyorekebishwa. Anthropic anasema Claude aliandika exploit inayofanya kazi kwa seva zenye multipath TCP listener, na programu za Go zimezifungua kwa chaguomsingi tangu Go one point twenty four. Timu ya Go inaonya kuwa mifumo isiyo na listener hiyo inaweza kuathirika na mashambulio kama hayo, na inasema marekebisho bora ni kernel iliyorekebishwa. Ikiwa usambazaji wako hauna kernel iliyorekebishwa bado, Red Hat na AlmaLinux huchapisha sheria ya ngome inayodondosha pakiti za IPv4 TCP zenye chaguo za IP. Red Hat inasema inapunguza kufichuliwa na haiwezi kuizuia kikamilifu.

5:23 Baada ya hapo, unasubiri. Nini cha kufanya leo. Sakinisha kernel iliyorekebishwa ya usambazaji wako na uwashe upya, kwenye wapangishi wa kontena na nodi za Kubernetes pia, kwa sababu kontena hushiriki kernel ya mpangishi. Debian, Suse na Amazon Linux tayari zina marekebisho. Ikiwa huwezi kurekebisha bado, anza na wapangishi wanaoendesha wasikilizaji wa TCP wa njia nyingi. Sasa kipima saa nilichoahidi.

Rudi kwenye kipima saa: utumiaji ulichukua muda gani?

5:44 Katika uthibitisho wa dhana wa Anthropic, inachukua dakika arobaini na nane kuvujisha pointer ya kernel, kisha dakika tano zaidi kuendesha amri ya shell. Anthropic haijachapisha exploit hiyo. Ukitaka kusoma haya badala ya kunisikia nikisema, diff inatua kwenye kikasha chako kila asubuhi, bila malipo kwenye the daily diff dot dev, kiungo hapa chini.

Uamuzi: REVERT

6:02 Kwa hivyo uamuzi wa leo ni REVERT. Ningerejesha ParticleDB, kwa sababu ushauri wa Jepsen ni kusitisha usambazaji, na ningerekebisha kernel hiyo, kwa sababu inakuja na kipima saa. Na hiyo ndiyo tofauti kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas