ParticleDB'ning Jepsen hisoboti, Lenovo'ning barmoq izi USB stiki, Karpathy'ning HackerTube'i va Linux TCP xatosi CVE-2026-98432: to'rtta dasturchi hikoyasi bitta Daily Diff'da

Bu video nimani qamrab oladi

• Kyle Kingsbury tomonidan boshqariladigan ma'lumotlar bazasini sinovdan o'tkazish laboratoriyasi Jepsen, 2026 yil 31 oktyabrda ParticleDB tahlilini e'lon qildi. ParticleDB - bu Orkesning AI agentlariga qaratilgan Rust ma'lumotlar bazasi; Orkes bu ishni moliyalashtirdi. Jepsen 1.1.4 dan 1.1.18.11.rc-22 gacha bo'lgan versiyalarni bitta tugunda sinovdan o'tkazdi va 96 ta muammoni topdi, ularning aksariyati bitta server, bitta mijoz va xatosiz ishlashni talab qildi. Hisobotdagi misollar: WHERE 4 = 5 bandi birlamchi kalit 5 bo'lgan qatorlarni qaytardi, WHERE TRUE hech narsaga mos kelmadi va UPDATE bir xil birlamchi kalitga ega bir nechta qatorni qoldirishi mumkin edi.
• ParticleDB bosh sahifasi 'To'liq ACID. 159K TPS.' va TLA+ isbotini e'lon qildi, ammo Jepsen hamkorlik davrida TLA+ spetsifikatsiyasi mavjud emasligini va 'To'liq ACID' ostidagi matn lahzali izolyatsiyani aytganini bildiradi. Jepsen sinovdan o'tkazgan oxirgi versiya, 1.1.18.11.rc-22 da, sukut bo'yicha occ tranzaksiya rejimi normal ishlash vaqtida tasdiqlangan yozuvlarni yo'qotdi, va eng qattiq serializatsiya rejimi jarayonni o'ldirgandan so'ng yo'qolgan yangilanishlarga ruxsat berdi. Orkes 1.1.19-rc.13 versiyasi qolgan barcha muammolarni hal qiladi deb aytadi; Jepsen uni baholamagan va foydalanuvchilarga ParticleDB'ni keyingi joylashtirishni to'xtatishni va boshqa ma'lumotlar bazalariga o'tishni tavsiya qiladi.
• Xavfsizlik tadqiqotchisi Xusheng Li Lenovo ThinkPlus FU100 barmoq izi USB stiki, AES-256 bilan apparat shifrlangan deb sotilgan bo'lsa-da, ma'lumotlari shifrlanmagan oddiy SD kartani o'z ichiga olganini aniqladi; barmoq izi o'quvchi faqat USB ulanishini yoqdi. U bu haqda 2025 yil 2 avgustda xabar berdi va Lenovo'ning birinchi tuzatishi SD karta ustiga epoksi qatlami bo'ldi. Lenovo o'z ogohlantirishini yuqori deb baholadi va FU100 va tegishli disklarni keyinroq tuzatish uchun Xitoydagi xizmat ko'rsatish liniyasiga qo'ng'iroq qilish, so'ngra almashtirish yoki joyida proshivka yangilash talab etiladi, Tom's Hardware xabar beradi.
• Tom's Hardware tomonidan xabar qilingan keyingi ma'lumotda, Li OpenAI'ning Codex'ini o'z ish beruvchisining boshqa ishlab chiqaruvchilarning USB himoya dasturiga qarshi teskari muhandislik vositasi bilan ishlatgan; Netac'niki taxminan yetti daqiqa davom etdi, chunki unda o'rnatilgan qattiq kalit bor edi va parolni diagnostika jurnallariga yozgan, va boshqa sotuvchining diskida Li "orqa eshiklar" deb atagan ikkita yashirin hisob bor edi. USB stikdagi ma'lumotlar uchun, qurilmaga etib kelishidan oldin o'zingiz boshqaradigan dastur bilan fayllarni shifrlang.
• 2026 yil 31 oktyabrda Andrej Karpathy HackerTube'ni, taxminan ikki soat ichida o'z kodlash agenti bilan qurilgan hackertube.org saytini tasvirladi. Agent Hacker News izohlarini yuklab oldi, spamni filtrladi va YouTube videosini tavsiya qiluvchi taxminan 40 000 tasini saqlab qoldi, bu 2007 yildan 2026 yilgacha bo'lgan 150 ta mavzu bo'yicha 6454 ta videoni berdi. Sayt yuklangan eskiz o'rniga 50 foiz belgisi bo'yicha kadorni ko'rsatadi. Karpathy o'zining qo'lda bajariladigan qadamlarini Google Cloud API kaliti, server va domen deb sanab o'tadi.
• CVE-2026-98432 - bu Linux yadrosining IPv4 TCP qo'l siqishidagi use-after-free, CVSS 9.8 ball bilan baholangan, login talab qilmasdan uzoq peer tomonidan erishish mumkin. Eric Dumazetning tuzatishi 1 oktyabr sanasi bilan kiritilgan commitda ikkita oddiy kfree chaqiruvini kfree_rcu bilan almashtirdi; tuzatilgan barqaror yadrolar 11 va 15 oktyabrda chiqarildi, va xato Linux 4.4 ga borib taqaladi. Red Hat 30 oktyabrda o'z reytingini muhimdan kritikgacha oshirdi. Ubuntu va Red Hat Enterprise Linux shanba oqshomi, 31 oktyabrda tuzatilgan yadro ro'yxatiga kirmadi. Tarqatishingizning tuzatilgan yadrosini o'rnating va qayta yuklang, shu jumladan konteyner xostlari ham, chunki konteynerlar xost yadrosini baham ko'radi.
• Anthropicning aytishicha, Claude multipath TCP tinglovchisi bilan Linux serverlari uchun ishlaydigan ekspluatatsiya yozgan va uning kontseptsiya isbotida yadro ko'rsatkichini sizdirish uchun 48 daqiqa va shell buyrug'ini ishga tushirish uchun yana besh daqiqa ketadi; ekspluatatsiya nashr etilmagan. Go Xavfsizlik Guruhi Go dasturlari Go 1.24 dan beri multipath TCP tinglovchilarini sukut bo'yicha yoqishini qayd etadi va ushbu tinglovchisiz tizimlar shunga o'xshash hujumlarga zaif bo'lishi mumkinligini ogohlantiradi. Red Hat va AlmaLinux IPv4 TCP paketlarini IP opsiyalari bilan tashlaydigan xavfsizlik devori qoidasini nashr etadi, Red Hatning aytishicha, bu ta'sirni kamaytiradi va ekspluatatsiyani to'liq oldini olmaydi.

Tarjima qilingan transkript

Asl inglizcha hikoyadan tarjima qilingan. Mavjud audio va subtitrlar YouTube tomonidan boshqariladi.

Sovuq kirish: qanday qilib "where" bandi to'rt beshga teng deydi?

0:00 To'liq ACID reklama qiladigan ma'lumotlar bazasi siz yozgan narsani saqlashi kerak. Jepsen birini sinovdan o'tkazdi va to'qson oltita muammoni topdi, shu jumladan "where" bandi to'rt beshga teng dedi va baribir qatorlarni qaytardi. Ushbu videoda to'rtta hikoya. Jepsen "To'liq ACID" deb da'vo qilgan ma'lumotlar bazasida nimalarni topdi? Shifrlangan deb sotilgan barmoq izi USB stiki ichida nima bor edi? Andrej Karpathy bir ertalab nimalar qildi? Va Linux tarmoq xatosi uchun nimani tuzatasiz?

0:26 Bu xatolardan biri sekundomer bilan keladi. Men uni sizga oxirida o'qib beraman. Bugun yakshanba, birinchi noyabr, va bu The Daily Diff. Jepsen - Kyle Kingsburyning sinov laboratoriyasi. U ma'lumotlar bazasini haqiqiy ish yuklari va nosozliklar orqali sinovdan o'tkazadi va veb-saytdagi kafolatlar amal qiladimi yoki yo'qligini tekshiradi. Xuddi muzlatgichning ichini ochib ko'radigan inspektorni tasavvur qiling.

Birinchi hikoya: Jepsen ParticleDB'da nimalarni topdi?

0:44 Birinchi hikoya. Shanba kuni Jepsen ParticleDB bo'yicha hisobotini e'lon qildi, bu Orkesning AI agentlariga qaratilgan Rust ma'lumotlar bazasi. Orkes ish uchun pul to'ladi. Bosh sahifada Full ACID, yuz ellik to'qqiz ming tranzaksiya soniyasiga yozilgan edi. Jepsen ParticleDB'ni birinchi 1.1 qurilmasidan oxirgi chiqarish nomzodigacha sinovdan o'tkazdi. Sayt uni rasmiy isbotlangan deb atadi, TLA plus isboti bilan. Jepsenning aytishicha, ish davomida TLA plus spetsifikatsiyasi mavjud emas edi.

1:10 Full ACID satri ostida, xuddi shu sahifada lahzali izolyatsiya deb yozilgan edi, bu to'liq izolyatsiyalanmagan. Xatolar nozik emas edi. Ko'pchilikka bitta server, bitta mijoz va hech qanday nosozlik kiritilmagan holda kerak edi. To'rt beshga teng deb aytilgan "where" bandi qatorlarni qaytardi. True deb aytilgan "where" bandi hech narsaga mos kelmadi. Yangilanishlar bir xil birlamchi kalitga ega ikkita qatorni qoldirdi. Jepsen sinovdan o'tkazgan oxirgi reliz, yigirma ikkinchi reliz nomzodi,

1:36 ancha xavfsizroq edi. Shunday bo'lsa ham, sukut bo'yicha tranzaksiya rejimi normal ishlash vaqtida tasdiqlangan yozuvlarni yo'qotdi. Eng qattiq rejim jarayon o'ldirilgandan keyin ham yo'qolgan yangilanishlarga ruxsat berdi. Orkes keyingi relizi bularning barchasini tuzatadi deb aytadi. Jepsen uni sinovdan o'tkazmadi. Shunday qilib, o'sha oxirgi relizda Full ACID va'da qilgan ma'lumotlar bazasi o'zi allaqachon qabul qilgan yozuvni yo'qotishi mumkin edi. Tezlik, menimcha, a'lo darajada edi.

2:00 Jepsenning maslahati aniq. ParticleDB'ni keyingi joylashtirishni to'xtating va imkon qadar tezroq boshqa ma'lumotlar bazasiga o'ting. Orkes bahorda qayta ishlashni ayblaydi va o'z mijozlari, eski versiyada, ehtimol ta'sirlanmaganligini aytadi. Saqlangan protsedura hujjatlarida hatto Kyle Kingsbury uchun elektron pochta manzili ham o'ylab topilgan. Ikkinchi hikoya. Lenovo ThinkPlus FU yuzligi - bu barmoq izi USB stiki

Ikkinchi hikoya: Lenovo barmoq izi USB stiki ichida nima bor edi?

2:21 AES ikki yuz ellik olti bilan apparat shifrlangan deb sotilgan. Xavfsizlik tadqiqotchisi Xusheng Li birini qismlarga ajratdi va oddiy SD kartani topdi, unda hech narsa shifrlanmagan edi. Barmoq izi o'quvchi bitta narsani hal qildi, stik kompyuterga ulanadimi yoki yo'q. Kartadagi fayllar hech qachon unga bog'liq emas edi. Barmoq izi o'quvchi stik kompyuterga ulanadimi yoki yo'qligini hal qildi. Li 2025 yil avgust oyida bu xato haqida Lenovoga xabar berdi. Birinchi tuzatish SD karta ustiga epoksi qatlami bo'ldi. Shunday qilib, fayllar hech qachon shifrlanmagan.

2:47 Kuting, bu shunchaki SD kartami? Har doim shunday bo'lgan. Lenovo o'z ogohlantirishini yuqori deb baholadi. Keyinchalik tuzatish, FU yuzligi va uchta tegishli disklar uchun, Xitoydagi xizmat ko'rsatish liniyasiga qo'ng'iroq qilishni, so'ngra diskni qaytarib yuborishni yoki joyida proshivka yangilashni anglatadi. Lenovo avval diskni tozalashni tavsiya qiladi. O'tgan hafta Li OpenAI'ning Codex'ini, shuningdek, o'z ish beruvchisining teskari muhandislik

3:09 vositasini boshqa ishlab chiqaruvchilarning USB himoya dasturiga yo'naltirdi. Netac'niki taxminan yetti daqiqa davom etdi, chunki unda o'rnatilgan qattiq kalit bor edi va parolni diagnostika jurnallariga yozgan. Bitta diskda Li orqa eshiklar deb atagan ikkita yashirin hisob bor edi. Agar diskning xavfsizligi apparat bo'lsa, uni o'zingiz tekshiring. Fayllarni stikga etib kelishidan oldin o'zingiz boshqaradigan dastur bilan shifrlang, va barmoq izini qulaylik deb biling.

Uchinchi hikoya: Karpathy bir ertalab nimalar qildi?

3:31 Uchinchi hikoya, yengilroq. Juma oqshomi Andrej Karpathy YouTube'ni ochdi, u "enshittified wall of slop" deb atagan narsani ko'rdi, va shanba ertalab o'zining kodlash agentiga Hacker News tavsiya etgan har qanday narsadan o'rnini bosuvchi qurishni aytdi. Hacker News tavsiya etgan har qanday narsadan o'rnini bosuvchi qurishni aytdi. Agent Hacker News izohlarini yuklab oldi, spamni filtrladi, va YouTube videosini tavsiya qiluvchi taxminan qirq mingtasini saqlab qoldi. Bu olti ming to'rt yuz ellik to'rtta videoni qoldirdi, ikki ming yettidan hozirgacha, yuz ellik mavzuda.

3:58 Sayt hackertube dot org. U yuklovchi tanlagan eskiz o'rniga videoning o'rtasidan kadrni ko'rsatadi, bu biroz yoqimsiz. U yuklovchi tanlagan eskiz o'rniga videoning o'rtasidan kadrni ko'rsatadi, bu biroz yoqimsiz. Karpathy butun qurilishga taxminan ikki soat ketganini aytadi. Uning yagona qo'lda bajarilgan qadamlari Google API kaliti, server va domen edi. O'n ikkinchi oktyabrda men sizga Karpathyning fikricha, kirish va vazifalar odamlarning bu vositalarni tushunishidagi bo'shliqni yaratadi, deb aytgan edim. Ikki soatlik ish - bu munosib ma'lumot nuqtasi.

4:21 To'rtinchi hikoya, amalga oshirish kerak bo'lgani.

To'rtinchi hikoya: CVE-2026-98432 uchun nimani tuzatasiz?

4:23 CVE ikki ming yigirma olti, to'qson sakkiz to'rt yuz o'ttiz ikki - bu Linux yadrosining I P v to'rt TCP qo'l siqishidagi use-after-free, o'ntadan to'qqiz nuqta sakkiz ball bilan baholangan. Login talab qilmaydigan uzoq peer unga erisha oladi. Eric Dumazet birinchi oktyabrda tuzatishni yozdi. Tuzatish barqaror yadrolarga o'n birinchi va o'n beshinchi oktyabrda etib keldi, va xato Linux to'rt nuqta to'rtga borib taqaladi. Red Hat o'ttizinchi oktyabrda o'z reytingini muhimdan kritikgacha oshirdi. Shanba oqshomi, Ubuntu va Red Hat Enterprise Linux hali ham tuzatilgan

4:52 yadro ro'yxatiga kirmagan. Anthropicning aytishicha, Claude multipath TCP tinglovchisi bo'lgan serverlar uchun ishlaydigan ekspluatatsiya yozgan, va Go dasturlari Go bir nuqta yigirma to'rtdan beri ularni sukut bo'yicha ochgan. Go jamoasi ushbu tinglovchisiz tizimlar to'rtdan beri. Go jamoasi ushbu tinglovchisiz tizimlar shunga o'xshash hujumlarga zaif bo'lishi mumkinligini ogohlantiradi va eng yaxshi tuzatish tuzatilgan yadro ekanligini aytadi. Agar sizning tarqatishingizda hali tuzatilgan yadro bo'lmasa, Red Hat va AlmaLinux I P v to'rt TCP paketlarini IP opsiyalari bilan tashlaydigan xavfsizlik devori qoidasini nashr etadi. Red Hatning aytishicha, bu ta'sirni kamaytiradi va uni to'liq oldini olmaydi.

5:23 Shundan so'ng, kutasiz. Bugun nima qilish kerak. Tarqatishingizning tuzatilgan yadrosini o'rnating va qayta yuklang, konteyner xostlari va Kubernetes tugunlarida ham, chunki konteynerlar xost yadrosini baham ko'radi. Debian, Suse va Amazon Linux allaqachon tuzatishlarga ega. Agar siz hali tuzata olmasangiz, multipath TCP tinglovchilarini ishlatadigan xostlardan boshlang. Endi men va'da qilgan sekundomer.

Sekundomerga qaytish: ekspluatatsiya qancha vaqt oldi?

5:44 Anthropicning o'z kontseptsiya isbotida, yadro ko'rsatkichini sizdirish uchun qirq sakkiz daqiqa, so'ngra shell buyrug'ini ishga tushirish uchun yana besh daqiqa ketadi. yadro ko'rsatkichini sizdirish uchun qirq sakkiz daqiqa, so'ngra shell buyrug'ini ishga tushirish uchun yana besh daqiqa ketadi. Anthropic ekspluatatsiyani nashr etmadi. Agar siz buni men aytganimdan ko'ra o'qishni afzal ko'rsangiz, har ertalab farq sizning pochta qutingizga keladi, thedailydiff dot dev saytida bepul, havolasi pastda.

Hukm: REVERT

6:02 Shunday qilib, bugungi hukm REVERT. Men ParticleDB'ni qaytarib olaman, chunki Jepsenning maslahati joylashtirishni to'xtatish, va men o'sha yadroni tuzataman, chunki u sekundomer bilan keladi. Va bugungi farq shundan iborat. Men Axrisidan Nikoman. Mas'uliyat bilan birlashtiring.

Manbalar

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas