Báo cáo Jepsen về ParticleDB, USB vân tay của Lenovo, HackerTube của Karpathy và lỗi TCP của Linux CVE-2026-98432: bốn câu chuyện của nhà phát triển trong một bản Daily Diff

Nội dung video này đề cập

• Jepsen, phòng thí nghiệm thử nghiệm cơ sở dữ liệu do Kyle Kingsbury điều hành, đã công bố phân tích của mình về ParticleDB vào ngày 31 tháng 10 năm 2026. ParticleDB là một cơ sở dữ liệu Rust từ Orkes nhằm vào các tác nhân AI; Orkes đã tài trợ công việc này. Jepsen đã thử nghiệm các phiên bản 1.1.4 đến 1.1.18.11.rc-22 trên một nút duy nhất và đưa ra 96 vấn đề, hầu hết trong số đó chỉ cần một máy chủ, một máy khách và không có lỗi nào. Ví dụ trong báo cáo: một mệnh đề WHERE 4 = 5 trả về các hàng có khóa chính 5, WHERE TRUE không khớp với gì, và một UPDATE có thể để lại nhiều hàng có cùng khóa chính.
• Trang chủ của ParticleDB quảng cáo 'Full ACID. 159K TPS.' và một chứng minh TLA+, nhưng Jepsen nói rằng không có đặc tả TLA+ nào có sẵn trong quá trình hợp tác, và văn bản dưới 'Full ACID' nói về cách ly ảnh chụp nhanh. Trong 1.1.18.11.rc-22, phiên bản cuối cùng Jepsen thử nghiệm, chế độ giao dịch occ mặc định vẫn mất các bản ghi đã cam kết trong quá trình hoạt động bình thường, và chế độ tuần tự hóa nghiêm ngặt nhất cho phép Cập nhật bị mất sau khi tắt quy trình. Orkes nói rằng phiên bản 1.1.19-rc.13 giải quyết tất cả các vấn đề còn lại; Jepsen chưa đánh giá nó và khuyến nghị người dùng ngừng triển khai ParticleDB và di chuyển sang các cơ sở dữ liệu khác.
• Nhà nghiên cứu bảo mật Xusheng Li phát hiện ra rằng USB vân tay Lenovo ThinkPlus FU100, được quảng cáo là mã hóa phần cứng với AES-256, chứa một thẻ SD thông thường mà dữ liệu không được mã hóa; đầu đọc vân tay chỉ bật kết nối USB. Anh ấy đã báo cáo vào ngày 2 tháng 8 năm 2025, và bản sửa lỗi đầu tiên của Lenovo là một lớp epoxy phủ lên thẻ SD. Lenovo đánh giá khuyến cáo của mình là cao, và một bản sửa lỗi sau này cho FU100 và các ổ đĩa liên quan yêu cầu gọi một đường dây dịch vụ ở Trung Quốc, sau đó là thay thế hoặc nâng cấp firmware tại chỗ, theo Tom's Hardware.
• Trong một báo cáo tiếp theo của Tom's Hardware, Li đã sử dụng Codex của OpenAI với công cụ đảo ngược kỹ thuật của nhà tuyển dụng anh ấy để chống lại phần mềm bảo vệ USB của các nhà sản xuất khác; của Netac mất khoảng bảy phút vì nó có một khóa cố định được tích hợp sẵn và ghi mật khẩu vào nhật ký chẩn đoán, và ổ đĩa của một nhà cung cấp khác có hai tài khoản ẩn mà Li gọi là cửa hậu. Đối với dữ liệu trên USB, hãy mã hóa tệp bằng phần mềm bạn kiểm soát trước khi chúng đến thiết bị.
• Vào ngày 31 tháng 10 năm 2026, Andrej Karpathy đã mô tả HackerTube, một trang web kiểu YouTube tại hackertube.org được xây dựng bằng tác nhân mã hóa của anh ấy trong khoảng hai giờ. Tác nhân đã tải xuống các bình luận của Hacker News, lọc thư rác và giữ lại khoảng 40.000 bình luận đề xuất một video YouTube, tạo ra 6.454 video từ năm 2007 đến 2026 trên 150 chủ đề. Trang web hiển thị khung hình ở mốc 50 phần trăm thay vì hình thu nhỏ đã tải lên. Karpathy liệt kê các bước thủ công của mình là khóa API của Google Cloud, một máy chủ và một miền.
• CVE-2026-98432 là lỗi sử dụng sau khi giải phóng trong quá trình bắt tay TCP IPv4 của nhân Linux, được chấm CVSS 9.8, có thể truy cập bởi một đối tác từ xa mà không cần đăng nhập. Bản sửa lỗi của Eric Dumazet đã thay thế hai lệnh gọi kfree thông thường bằng kfree_rcu trong một bản cam kết ngày 1 tháng 10; các nhân ổn định có bản sửa lỗi đã được phát hành vào ngày 11 và 15 tháng 10, và lỗi này đã xuất hiện từ Linux 4.4. Red Hat đã nâng xếp hạng của mình từ Quan trọng lên Nghiêm trọng vào ngày 30 tháng 10. Ubuntu và Red Hat Enterprise Linux không liệt kê nhân đã sửa lỗi nào vào tối thứ Bảy, ngày 31 tháng 10. Hãy cài đặt nhân đã sửa lỗi của bản phân phối của bạn và khởi động lại, bao gồm cả máy chủ container, vì container chia sẻ nhân máy chủ.
• Anthropic cho biết Claude đã viết một bản khai thác hoạt động cho các máy chủ Linux có trình nghe TCP đa đường, và trong bằng chứng khái niệm của mình, mất 48 phút để rò rỉ một con trỏ kernel và năm phút nữa để chạy một lệnh shell; bản khai thác không được công bố. Nhóm bảo mật Go lưu ý rằng các chương trình Go bật trình nghe TCP đa đường theo mặc định kể từ Go 1.24 và cảnh báo rằng các hệ thống không có trình nghe đó có thể dễ bị tấn công tương tự. Red Hat và AlmaLinux công bố một quy tắc tường lửa loại bỏ các gói TCP IPv4 có tùy chọn IP, mà Red Hat nói rằng điều này làm giảm mức độ phơi nhiễm và không hoàn toàn ngăn chặn khai thác.

Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

Mở đầu: làm thế nào một mệnh đề where lại nói bốn bằng năm?

0:00 Một cơ sở dữ liệu quảng cáo Full ACID được cho là sẽ giữ lại những gì bạn ghi. Jepsen đã thử nghiệm một và tìm thấy chín mươi sáu vấn đề, bao gồm một mệnh đề where mà nói bốn bằng năm và vẫn trả về các hàng. Trong video này, bốn câu chuyện. Jepsen đã tìm thấy gì trong một cơ sở dữ liệu tự nhận là Full ACID? Có gì bên trong một chiếc USB vân tay được bán như đã mã hóa? Andrej Karpathy đã xây dựng gì trong một buổi sáng? Và bạn vá gì cho một lỗi mạng Linux?

0:26 Một trong những lỗi đó đi kèm với một đồng hồ bấm giờ. Tôi sẽ đọc nó cho bạn vào cuối. Hôm nay là Chủ Nhật, ngày 1 tháng 11, và đây là The Daily Diff. Jepsen là phòng thí nghiệm thử nghiệm của Kyle Kingsbury. Nó chạy một cơ sở dữ liệu thông qua các khối lượng công việc và lỗi thực tế và kiểm tra xem liệu các đảm bảo trên trang web có được giữ vững không. Hãy nghĩ về một thanh tra thực sự mở tủ lạnh.

Câu chuyện thứ nhất: Jepsen đã tìm thấy gì trong ParticleDB?

0:44 Câu chuyện thứ nhất. Vào thứ Bảy, Jepsen đã công bố báo cáo của mình về ParticleDB, một cơ sở dữ liệu Rust từ Orkes nhằm vào các tác nhân AI. Orkes đã trả tiền cho công việc này. Trang chủ nói Full ACID, một trăm năm mươi chín nghìn giao dịch mỗi giây. Jepsen đã thử nghiệm ParticleDB từ bản dựng 1.1 đầu tiên của nó đến một bản ứng cử viên phát hành muộn. Trang web gọi nó là được chứng minh chính thức, với một chứng minh TLA+. Jepsen nói không có đặc tả TLA+ nào có sẵn trong quá trình làm việc.

1:10 Dưới dòng Full ACID, cùng trang nói về cách ly ảnh chụp nhanh, mà không được cách ly hoàn toàn. Các lỗi không hề nhỏ. Hầu hết chỉ cần một máy chủ, một máy khách và không có lỗi nào được đưa vào. Một mệnh đề where nói bốn bằng năm đã trả về các hàng. Một mệnh đề where nói true không khớp với gì. Các bản cập nhật để lại hai hàng có cùng khóa chính. Bản phát hành cuối cùng mà Jepsen thử nghiệm, ứng cử viên phát hành hai mươi hai,

1:36 an toàn hơn nhiều. Mặc dù vậy, chế độ giao dịch mặc định đã mất các bản ghi đã cam kết trong quá trình hoạt động bình thường. Chế độ nghiêm ngặt nhất vẫn cho phép cập nhật bị mất sau khi tắt quy trình. Orkes nói rằng bản phát hành tiếp theo của họ sẽ khắc phục tất cả những điều này. Jepsen chưa thử nghiệm nó. Vì vậy, trong bản phát hành cuối cùng đó, một cơ sở dữ liệu hứa hẹn Full ACID có thể mất một bản ghi nó đã cam kết. Tốc độ, tôi cho rằng, là tuyệt vời.

2:00 Lời khuyên của Jepsen là rõ ràng. Ngừng triển khai ParticleDB và di chuyển sang một cơ sở dữ liệu khác càng sớm càng tốt. Orkes đổ lỗi cho một đợt tái cấu trúc mùa xuân và nói rằng khách hàng của họ, trên một phiên bản cũ hơn, có lẽ không bị ảnh hưởng. Các tài liệu về thủ tục lưu trữ thậm chí còn tạo ra một địa chỉ email cho Kyle Kingsbury. Câu chuyện thứ hai. Lenovo ThinkPlus FU100 là một chiếc USB vân tay

Câu chuyện thứ hai: có gì bên trong chiếc USB vân tay của Lenovo?

2:21 được quảng cáo là mã hóa phần cứng với AES-256. Nhà nghiên cứu bảo mật Xusheng Li đã tháo một chiếc ra và tìm thấy một thẻ SD thông thường, mà không có gì trên đó được mã hóa. Đầu đọc vân tay chỉ quyết định một điều, liệu USB có kết nối với máy tính không. Các tệp trên thẻ không bao giờ phụ thuộc vào nó. Li đã báo cáo lỗ hổng cho Lenovo vào tháng 8 năm 2025. Bản sửa lỗi đầu tiên là một lớp epoxy phủ lên thẻ SD. Vì vậy các tệp không bao giờ được mã hóa.

2:47 Khoan đã, nó chỉ là một thẻ SD? Luôn luôn là vậy. Lenovo đã đánh giá khuyến cáo của mình là cao. Bản sửa lỗi sau này, cho FU100 và ba ổ đĩa liên quan, nghĩa là gọi một đường dây dịch vụ ở Trung Quốc, sau đó gửi lại ổ đĩa hoặc nhận một bản nâng cấp firmware tại chỗ. Lenovo khuyên nên xóa sạch ổ đĩa trước. Tuần trước, Li đã hướng Codex của OpenAI, cùng với công cụ đảo ngược kỹ thuật của nhà tuyển dụng của anh ấy,

3:09 vào phần mềm bảo vệ USB của các nhà sản xuất khác. Của Netac mất khoảng bảy phút, vì nó có một khóa cố định được tích hợp sẵn và ghi mật khẩu vào nhật ký chẩn đoán. Một ổ đĩa có hai tài khoản ẩn mà Li gọi là cửa hậu. Nếu bảo mật của ổ đĩa là phần cứng, hãy tự mình kiểm tra nó. Mã hóa các tệp bằng phần mềm bạn kiểm soát trước khi chúng đến USB, và coi vân tay là một tiện ích.

Câu chuyện thứ ba: Karpathy đã xây dựng gì trong một buổi sáng?

3:31 Câu chuyện thứ ba, nhẹ nhàng hơn. Vào tối thứ Sáu, Andrej Karpathy đã mở YouTube, nhìn thấy cái mà anh ấy gọi là một bức tường của sự lộn xộn, và vào sáng thứ Bảy đã bảo tác nhân mã hóa của mình xây dựng một sản phẩm thay thế từ bất cứ thứ gì Hacker News đề xuất. Tác nhân đã tải xuống các bình luận của Hacker News, lọc thư rác, và giữ lại khoảng bốn mươi nghìn bình luận đề xuất một video YouTube. Điều đó để lại sáu nghìn bốn trăm năm mươi bốn video, từ năm hai nghìn không trăm lẻ bảy đến nay, trong một trăm năm mươi chủ đề.

3:58 Trang web là hackertube.org. Nó hiển thị khung hình từ điểm giữa thay vì hình thu nhỏ mà người tải lên chọn, điều này hơi khó chịu một chút. Karpathy nói toàn bộ quá trình xây dựng mất khoảng hai giờ. Các bước thủ công duy nhất của anh ấy là một khóa API của Google, một máy chủ và một miền. Vào ngày 12 tháng 10, tôi đã nói với bạn rằng Karpathy nghĩ rằng quyền truy cập và nhiệm vụ tạo ra một khoảng cách trong cách mọi người hiểu các công cụ này. Hai giờ làm việc là một điểm dữ liệu đáng kể.

4:21 Câu chuyện thứ tư, cái cần hành động.

Câu chuyện thứ tư: bạn vá gì cho CVE-2026-98432?

4:23 CVE-2026-98432 là lỗi sử dụng sau khi giải phóng trong quá trình bắt tay TCP IPv4 của nhân Linux, được chấm 9.8 trên mười điểm. Một đối tác từ xa không cần đăng nhập có thể truy cập nó. Eric Dumazet đã viết bản sửa lỗi vào ngày 1 tháng 10. Bản sửa lỗi đã đến các nhân ổn định vào ngày 11 và 15 tháng 10, và lỗi này đã xuất hiện từ Linux 4.4. Red Hat đã nâng xếp hạng của mình từ quan trọng lên nghiêm trọng vào ngày 30 tháng 10. Vào tối thứ Bảy, Ubuntu và Red Hat Enterprise Linux vẫn không liệt kê nhân đã được

4:52 sửa lỗi nào. Anthropic cho biết Claude đã viết một bản khai thác hoạt động cho các máy chủ có trình nghe TCP đa đường, và các chương trình Go đã mở chúng theo mặc định kể từ Go 1.24. Nhóm Go cảnh báo rằng các hệ thống không có trình nghe đó có thể dễ bị tấn công tương tự, và nói rằng bản sửa lỗi tốt nhất là một nhân đã được vá. Nếu bản phân phối của bạn chưa có nhân đã sửa lỗi, Red Hat và AlmaLinux công bố một quy tắc tường lửa loại bỏ các gói TCP IPv4 mang tùy chọn IP. Red Hat nói rằng nó làm giảm mức độ phơi nhiễm và không thể ngăn chặn hoàn toàn.

5:23 Sau đó, bạn chờ đợi. Việc cần làm hôm nay. Cài đặt nhân đã sửa lỗi của bản phân phối của bạn và khởi động lại, trên các máy chủ container và các nút Kubernetes nữa, vì các container chia sẻ nhân máy chủ. Debian, Suse và Amazon Linux đã có các bản sửa lỗi. Nếu bạn chưa thể vá lỗi, hãy bắt đầu với các máy chủ chạy trình nghe TCP đa đường. Bây giờ là đồng hồ bấm giờ tôi đã hứa.

Quay lại đồng hồ bấm giờ: khai thác mất bao lâu?

5:44 Trong bằng chứng khái niệm của Anthropic, mất bốn mươi tám phút để rò rỉ một con trỏ kernel, sau đó năm phút nữa để chạy một lệnh shell. Anthropic chưa công bố bản khai thác. Nếu bạn muốn đọc hơn là nghe tôi nói, bản diff sẽ đến hộp thư đến của bạn mỗi sáng, miễn phí tại thedailydiff.dev, liên kết bên dưới.

Phán quyết: REVERT

6:02 Vì vậy, phán quyết hôm nay là REVERT. Tôi sẽ hoàn nguyên ParticleDB, vì lời khuyên của Jepsen là ngừng triển khai, và tôi sẽ vá lỗi kernel đó, vì nó đi kèm với một đồng hồ bấm giờ. Và đó là bản diff cho hôm nay. Tôi là Niko từ Axrisi. Hợp nhất một cách có trách nhiệm.

Nguồn

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas