Звіт Jepsen про ParticleDB, флешка Lenovo з відбитком пальця, HackerTube Карпатого та помилка TCP у Linux CVE-2026-98432: чотири історії розробників в одному Daily Diff

Що охоплює це відео

• Jepsen, лабораторія тестування баз даних, керована Кайлом Кінгсбері, опублікувала свій аналіз ParticleDB 31 жовтня 2026 року. ParticleDB — це база даних Rust від Orkes, призначена для агентів штучного інтелекту; Orkes фінансувала цю роботу. Jepsen протестував версії з 1.1.4 до 1.1.18.11.rc-22 на одному вузлі та представив 96 проблем, більшість з яких потребували одного сервера, одного клієнта та відсутності помилок. Приклади у звіті: речення WHERE 4 = 5 повертало рядки з первинним ключем 5, WHERE TRUE нічого не збігалося, а UPDATE могло залишити кілька рядків з однаковим первинним ключем.
• Домашня сторінка ParticleDB рекламувала «Повний ACID. 159K TPS». та доказ TLA+, але Jepsen стверджує, що специфікація TLA+ не була доступна під час співпраці, а текст під «Повний ACID» вказував на ізоляцію знімків. У 1.1.18.11.rc-22, останній версії, протестованій Jepsen, режим транзакцій за замовчуванням occ все ще втрачав зафіксовані записи під час нормальної роботи, а найсуворіший серіалізований режим дозволяв втрачені оновлення після завершення процесів. Orkes стверджує, що версія 1.1.19-rc.13 вирішує всі проблеми, що залишилися; Jepsen не оцінював її та рекомендує користувачам припинити подальше розгортання ParticleDB та мігрувати до інших баз даних.
• Дослідник безпеки Сюйшен Лі виявив, що флешка Lenovo ThinkPlus FU100 з відбитком пальця, що продавалася як апаратно зашифрована за допомогою AES-256, містила звичайну SD-карту, дані на якій не були зашифровані; сканер відбитків пальців лише вмикав USB-з'єднання. Він повідомив про це 2 серпня 2025 року, і першим виправленням Lenovo був шар епоксидної смоли над SD-картою. Lenovo оцінила свою рекомендацію як високу, а пізніше виправлення для FU100 та пов'язаних накопичувачів вимагає дзвінка на сервісну лінію в Китаї, а потім заміни або оновлення прошивки на місці, згідно з Tom's Hardware.
• У подальшому звіті Tom's Hardware Лі використав Codex від OpenAI разом з інструментом зворотного інжинірингу свого роботодавця проти програмного забезпечення захисту USB інших виробників; Netac зайняв близько семи хвилин, оскільки мав вбудований фіксований ключ і записував пароль до діагностичних журналів, а накопичувач іншого постачальника мав два приховані облікові записи, які Лі називає "бекдорами". Для даних на USB-флешці шифруйте файли за допомогою програмного забезпечення, яке ви контролюєте, перш ніж вони потраплять на пристрій.
• 31 жовтня 2026 року Андрій Карпатий описав HackerTube, сайт у стилі YouTube за адресою hackertube.org, створений за допомогою його агента кодування приблизно за дві години. Агент завантажив коментарі Hacker News, відфільтрував спам і залишив близько 40 000, які рекомендували відео на YouTube, що дало 6454 відео з 2007 по 2026 рік за 150 темами. Сайт показує кадр на позначці 50 відсотків замість завантаженої мініатюри. Карпатий перераховує свої ручні кроки як ключ API Google Cloud, сервер і домен.
• CVE-2026-98432 — це помилка використання після звільнення (use-after-free) у рукостисканні IPv4 TCP ядра Linux, оцінена за CVSS 9.8, доступна віддаленим вузлом без входу. Виправлення Еріка Думазета замінило два звичайні виклики kfree на kfree_rcu в комміті від 1 жовтня; стабільні ядра з виправленням вийшли 11 та 15 жовтня, а помилка існує з Linux 4.4. Red Hat підвищила свою оцінку з «Важливо» до «Критично» 30 жовтня. Ubuntu та Red Hat Enterprise Linux не мали виправленого ядра в суботу ввечері, 31 жовтня. Встановіть виправлене ядро вашого дистрибутива та перезавантажтеся, включаючи хости контейнерів, оскільки контейнери спільно використовують ядро хоста.
• Anthropic стверджує, що Claude написав робочий експлойт для серверів Linux з багатошляховим слухачем TCP, і що в його доказі концепції потрібно 48 хвилин, щоб виточити вказівник ядра, і ще п'ять хвилин, щоб виконати команду оболонки; експлойт не опублікований. Команда Go Security зазначає, що програми Go вмикають багатошляхові слухачі TCP за замовчуванням, починаючи з Go 1.24, і попереджає, що системи без цього слухача можуть бути вразливими до подібних атак. Red Hat і AlmaLinux публікують правило брандмауера, яке відкидає пакети IPv4 TCP з опціями IP, що, за словами Red Hat, зменшує вразливість, але не повністю запобігає експлуатації.

Перекладена стенограма

Перекладено з оригінальної англійської розповіді. Доступне аудіо та субтитри контролюються YouTube.

Холодне відкриття: як clause where може сказати чотири дорівнює п'яти?

0:00 База даних, яка рекламує повну ACID, повинна зберігати те, що ви записуєте. Jepsen протестував одну та виявив дев'яносто шість проблем, включаючи умову where, яка сказала чотири дорівнює п'яти і все одно повертала рядки. У цьому відео чотири історії. Що Jepsen знайшов у базі даних, яка стверджувала повну ACID? Що було всередині флешки з відбитком пальця, яка продавалася як зашифрована? Що Андрій Карпатий створив за один ранок? І що ви патчите для помилки мережі Linux?

0:26 Одна з цих помилок поставляється з секундоміром. Я розповім вам про це в кінці. Сьогодні неділя, перше листопада, і це The Daily Diff. Jepsen — це тестова лабораторія Кайла Кінгсбері. Вона пропускає базу даних через реальні робочі навантаження та збої та перевіряє, чи виконуються гарантії на веб-сайті. Уявіть собі інспектора, який справді відкриває холодильник.

Історія перша: що знайшов Jepsen у ParticleDB?

0:44 Історія перша. У суботу Jepsen опублікував свій звіт про ParticleDB, базу даних Rust від Orkes, призначену для агентів штучного інтелекту. Orkes оплатила роботу. На домашній сторінці було написано «Повний ACID, сто п'ятдесят дев'ять тисяч транзакцій за секунду». Jepsen протестував ParticleDB від першої збірки 1.1 до пізньої версії-кандидата. На сайті її називали «формально доведеною», з доказом TLA+. Jepsen стверджує, що під час роботи не було доступної специфікації TLA+.

1:10 Під рядком «Повний ACID» на тій же сторінці було зазначено «ізоляція знімків», яка не є повністю ізольованою. Помилки не були тонкими. Більшості потрібен був один сервер, один клієнт і не було введено жодних збоїв. Умова where, яка говорила чотири дорівнює п'яти, повертала рядки. Умова where, яка говорила true, нічого не збігалася. Оновлення залишили два рядки з однаковим первинним ключем. Останній випуск, який тестував Jepsen, кандидат у релізи двадцять два,

1:36 був набагато безпечнішим. Навіть так, режим транзакцій за замовчуванням втрачав зафіксовані записи під час нормальної роботи. Найсуворіший режим все ще дозволяв втрачені оновлення після завершення процесу. Orkes стверджує, що наступний випуск все це виправляє. Jepsen його не тестував. Отже, в тому останньому випуску база даних, яка обіцяла повний ACID, могла втратити запис, який вона вже зафіксувала. Швидкість, я припускаю, була відмінною.

2:00 Порада Jepsen зрозуміла. Зупиніть подальше розгортання ParticleDB та якомога швидше мігруйте на іншу базу даних. Orkes звинувачує в цьому весняну рефакторизацію та стверджує, що її власні клієнти, які використовують старішу версію, ймовірно, не постраждали. Документи зі збереженими процедурами навіть вигадали електронну адресу для Кайла Кінгсбері. Історія друга. Lenovo ThinkPlus FU100 — це флешка з відбитком пальця,

Історія друга: що було всередині флешки Lenovo з відбитком пальця?

2:21 що продається як апаратно зашифрована за допомогою AES-256. Дослідник безпеки Сюйшен Лі розібрав її та знайшов звичайну SD-карту, без жодного шифрування на ній. Зчитувач відбитків пальців вирішував лише одне: чи підключалася флешка до комп'ютера. Файли на картці ніколи від цього не залежали. Лі повідомив про цей недолік Lenovo у серпні 2025 року. Першим виправленням був шар епоксидної смоли над SD-картою. Отже, файли ніколи не шифрувалися.

2:47 Зачекайте, це просто SD-карта? Завжди була. Lenovo оцінила власну рекомендацію як високу. Пізніше виправлення, для FU100 та трьох пов'язаних накопичувачів, означає дзвінок на сервісну лінію в Китаї, а потім або відправлення накопичувача назад, або отримання оновлення прошивки на місці. Lenovo радить спочатку стерти дані з накопичувача. Минулого тижня Лі використав OpenAI Codex, а також інструмент зворотного інжинірингу свого роботодавця,

3:09 проти програмного забезпечення для захисту USB інших виробників. Netac зайняв близько семи хвилин, оскільки мав вбудований фіксований ключ і записував пароль у діагностичні журнали. Один накопичувач мав два приховані облікові записи, які Лі називає "бекдорами". Якщо безпека накопичувача залежить від апаратного забезпечення, перевірте це самі. Зашифруйте файли за допомогою програмного забезпечення, яке ви контролюєте, перш ніж вони потраплять на флешку, і розглядайте відбиток пальця як зручність.

Історія третя: що Карпатий створив за один ранок?

3:31 Історія третя, легка. У п'ятницю ввечері Андрій Карпатий відкрив YouTube, побачив, як він назвав, «засмічений муром багна», а в суботу вранці доручив своєму агенту кодування створити заміну з того, що рекомендує Hacker News. Агент завантажив коментарі Hacker News, відфільтрував спам, і зберіг близько сорока тисяч, які рекомендували відео на YouTube. Це залишило шість тисяч чотириста п'ятдесят чотири відео, з двох тисяч сьомого року дотепер, у ста п'ятдесяти темах.

3:58 Сайт — hackertube.org. Він показує кадр із середини замість мініатюри, обраної завантажувачем, що трохи дратує. Карпатий каже, що вся збірка зайняла близько двох годин. Його єдиними ручними кроками були ключ API Google, сервер та домен. Дванадцятого жовтня я розповідав вам, що Карпатий вважає, що доступ та завдання створюють розрив у тому, як люди розуміють ці інструменти. Дві години роботи — це непоганий показник.

4:21 Історія четверта, та, на яку треба діяти.

Історія четверта: що потрібно патчити для CVE-2026-98432?

4:23 CVE 2026-98432 — це помилка використання після звільнення (use-after-free) у IPv4 TCP рукостисканні ядра Linux, оцінена на 9.8 з десяти. Віддалений пір без входу може її використати. Ерік Думазе написав виправлення 1 жовтня. Виправлення потрапило до стабільних ядер 11 та 15 жовтня, а помилка існує з Linux 4.4. Red Hat підвищила свою оцінку з важливої до критичної 30 жовтня. У суботу ввечері Ubuntu та Red Hat Enterprise Linux все ще не мали виправленого

4:52 ядра. Anthropic стверджує, що Claude написав робочий експлойт для серверів з багатошляховим слухачем TCP, і програми Go відкривають їх за замовчуванням, починаючи з Go 1.24. Команда Go попереджає, що системи без цього слухача можуть бути вразливими до подібних атак, і каже, що найкраще виправлення — це пропатчене ядро. Якщо ваш дистрибутив ще не має виправленого ядра, Red Hat та AlmaLinux публікують правило брандмауера, яке відкидає пакети IPv4 TCP, що містять опції IP. Red Hat каже, що це зменшує вплив і не може повністю запобігти йому.

5:23 Після цього ви чекаєте. Що робити сьогодні. Встановіть виправлене ядро вашого дистрибутива та перезавантажтеся, також на хостах контейнерів та вузлах Kubernetes, оскільки контейнери спільно використовують ядро хоста. Debian, Suse та Amazon Linux вже мають виправлення. Якщо ви ще не можете пропатчити, почніть з хостів, які запускають багатошляхові слухачі TCP. Тепер секундомір, який я обіцяв.

Повертаємося до секундоміра: скільки часу зайняв експлойт?

5:44 У власному доказі концепції Anthropic потрібно сорок вісім хвилин, щоб виточити вказівник ядра, а потім ще п'ять хвилин, щоб виконати команду оболонки. Anthropic не опублікувала експлойт. Якщо ви волієте прочитати це, а не чути від мене, то "diff" надходить у вашу поштову скриньку щоранку, безкоштовно на thedailydiff.dev, посилання нижче.

Вердикт: REVERT

6:02 Отже, сьогоднішній вердикт — REVERT. Я б відмовився від ParticleDB, тому що Jepsen радить зупинити розгортання, і я б пропатчив це ядро, тому що воно поставляється з секундоміром. І це весь "diff" на сьогодні. Я Ніко з Axrisi. Зливайте відповідально.

Джерела

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas