ثغرة معلنة في Core Lightning، البرنامج المستخدم على شبكة دفع Lightning الخاصة ببيتكوين، يمكن أن تسبب تعطلًا متكررًا حتى بعد التحديث. كشف الباحث نيشانت بانسال في 24 أكتوبر أن الإصدارات من v25.02 إلى v26.04 هي الإصدارات المتأثرة. يؤدي إعادة التشغيل إلى تحميل إعلان ضار مخزن مجددًا، مما يُحفز تعطلًا آخر. يقول بانسال إن المشغلين يجب أن يحذفوا السجل الضار يدويًا لاستعادة العقدة.
دمج Core Lightning التصحيح الوقائي من خلال PR #9082 في 24 أبريل. ثم أصدر Core Lightning التصحيح في الإصدار v26.04.1 في 25 أبريل، قبل أشهر من الإفصاح في أكتوبر. وقد لفت Bitcoin Optech الانتباه إلى هذا العيب في 30 أكتوبر.
تُصفح إعلانات القناة الروابط داخل رسم تدفق Lightning. وقد حدد الإعلان الخبيث عقدة غير معروفة سابقًا كطرفين لرابط واحد. وقبلت الإصدارات المعرضة للخطر الإعلان وحفظته في ملف gossip_store على القرص قبل إضافته إلى رسم التوجيه. وحاول الرسم إضافة نفس العقدة مرتين. وأوقفت آلية وقاية من التكرار عملية gossipd، وهي المكون المسؤول عن معالجة هذه الإعلانات. واعتبر Core Lightning فشل gossipd كفشل قاتل وأوقف العقدة بالكامل.
التصحيح يتحقق من ترتيب النقاط النهائية قبل قبول الإعلان. يتطلب هذا الفحص أن يكون معرف العقدة الأول أصغر بشكل صارم من الثاني، مستبعدًا الإعلانات التي تحتوي على معرفات نقاط نهائية متطابقة. يمنع هذا الفحص قبول وحفظ الإعلانات غير المنسقة. ومع ذلك، ينطبق التحقق فقط على الإعلانات الواردة، بينما يستمر التمهيد في تحميل سجلات gossip_store الموجودة. وبالتالي، يترك الترقية أي سجل خبيث تم تخزينه قبل الانهيار كما هو.
يقول بانسال إن الاسترداد يتطلب حذف السجل الضار من gossip_store يدويًا. ومع ذلك، فإن حذف السجل دون الترقية يترك التثبيت المعرض للخطر عرضة لانهيار آخر. ويذكر إفصاح بانسال أن المهاجم يمكنه إرسال الإعلان مرة أخرى طالما أن مخرج التمويل الخاضع لسيطرة المهاجم لا يزال غير منفق. وتقول Bitcoin Optech إن الإصدارات الأقدم من v25.02 كانت تستقبل وتُعيد توجيه هذه الإعلانات دون أن تنهار. وبالتالي، لم يكن على المهاجم أن يمتلك اتصالًا مباشرًا بكل عقدة معرضة للخطر.
الإصدار v26.04.1 هو أقدم إصدار يحتوي على إصلاح لهذه الثغرة. اعتبارًا من 2 نوفمبر، فإن الإصدار v26.06.9 هو أحدث إصدار، صدر في 7 أكتوبر. يوصي المطورون بشدة بتثبيت v26.06.9.
يخلق التوقف مخاطر مراقبة المدفوعات بالإضافة إلى جعل الخدمة غير متاحة. يحذر بانسال من أن العقدة غير المتصلة لا يمكنها مراقبة سلسلة الكتل بحثًا عن حالات القنوات الملغاة أو مطالبات الدفع ذات المواعيد النهائية. يمكن أن تضع العقدة التي تفوت هذه الأحداث الأموال في خطر.
قد تتوقف عقد Core Lightning عن العمل بعد الترقية حتى يتم حذف السجل الضار
CryptoSlateمشاركة
ملخص
قد يؤدي ترقية حديثة لسلسلة الكتل لبرنامج Core Lightning إلى تعطل العقد بسبب مشكلة في سجل ضار. يؤثر هذا العيب على الإصدارات من v25.02 إلى v26.04، حيث يخلق إعلان قناة سيء مدخلات عقد مكررة. تم إضافة إصلاح في v26.04.1 في 25 أبريل، لكن السجلات الضارة القديمة لا تزال موجودة. يقول الباحثون إن المهاجم يمكنه إعادة تفعيل العيب إذا كان الإخراج التمويلي غير منفق. ينصح المطورون بالترقية إلى v26.06.9 للحماية. يُوصى بترقية الشبكة لتجنب أي تعطيل.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.