Una vulnerabilidad revelada en Core Lightning, software utilizado en la red de pagos Lightning de Bitcoin, puede causar reinicios repetidos incluso después de una actualización. La divulgación del investigador Nishant Bansal el 24 de octubre identifica las versiones v25.02 a v26.04 como afectadas. Un reinicio carga nuevamente el anuncio malicioso almacenado, provocando otro crash. Bansal indica que los operadores deben eliminar manualmente el registro malicioso para recuperar el nodo.
Core Lightning incorporó el parche preventivo a través de la PR #9082 el 24 de abril. Core Lightning luego lanzó la corrección en la v26.04.1 el 25 de abril, meses antes de la divulgación de octubre. Bitcoin Optech llamó la atención sobre la falla el 30 de octubre.
Los anuncios de canal describen conexiones dentro del grafo de enrutamiento Lightning. El anuncio malicioso designó un nodo previamente desconocido como ambos extremos de una conexión. Las versiones vulnerables aceptaron el anuncio y lo guardaron en el gossip_store en disco antes de agregarlo al grafo de enrutamiento. El grafo intentó agregar el mismo nodo dos veces. Una medida de prevención de duplicados terminó gossipd, el componente responsable de procesar estos anuncios. Core Lightning trató el fallo de gossipd como fatal y apagó todo el nodo.
El parche valida el orden de los puntos finales antes de aceptar un anuncio. La comprobación requiere que el ID del primer nodo sea estrictamente menor que el segundo, excluyendo anuncios con IDs de punto final idénticos. Esta verificación impide que se acepten y guarden anuncios malformados. Sin embargo, la validación se aplica solo a los anuncios entrantes, mientras que el inicio sigue cargando los registros existentes de gossip_store. Por lo tanto, una actualización deja intactos cualquier registro malicioso almacenado antes del cierre.
Bansal dice que la recuperación requiere eliminar el registro malicioso de gossip_store manualmente. Sin embargo, eliminar el registro sin actualizar deja una instalación vulnerable expuesta a otro colapso. La divulgación de Bansal indica que un atacante puede enviar nuevamente el anuncio siempre que la salida de financiación controlada por el atacante permanezca sin gastar. Bitcoin Optech dice que las versiones anteriores a la v25.02 podrían recibir y reenviar estos anuncios sin colapsar. Por lo tanto, un atacante no requería una conexión directa a cada nodo vulnerable.
La versión v26.04.1 es la versión más antigua que contiene una corrección para esta vulnerabilidad. Al 2 de noviembre, la versión v26.06.9 es la más reciente, publicada el 7 de octubre. Los mantenedores recomiendan encarecidamente instalar la v26.06.9.
El tiempo de inactividad crea riesgos de monitoreo de pagos además de hacer que el servicio no esté disponible. Bansal advierte que un nodo fuera de línea no puede monitorear la cadena de bloques para estados de canal revocados o reclamos de pago con fechas límite. Un nodo que pierda esos eventos puede poner en riesgo los fondos.
Los nodos Core Lightning podrían colapsar tras la actualización hasta que se elimine el registro malicioso
CryptoSlateCompartir
Resumen
Una actualización reciente de la cadena de bloques al software Core Lightning puede causar caídas de nodos debido a un problema con un registro malicioso. La vulnerabilidad afecta las versiones v25.02 a v26.04, donde una anunciación de canal defectuosa crea entradas duplicadas de nodo. Se agregó una corrección en la versión v26.04.1 el 25 de abril, pero los registros maliciosos antiguos persisten. Los investigadores indican que un atacante puede volver a activar la vulnerabilidad si la salida de financiación sigue sin gastarse. Los mantenedores recomiendan actualizar a la versión v26.06.9 para protegerse. Se recomienda una actualización de red para evitar interrupciones.
Fuente:Mostrar original
Descargo de responsabilidad: La información contenida en esta página puede proceder de terceros y no refleja necesariamente los puntos de vista u opiniones de KuCoin. Este contenido se proporciona solo con fines informativos generales, sin ninguna representación o garantía de ningún tipo, y tampoco debe interpretarse como asesoramiento financiero o de inversión. KuCoin no es responsable de ningún error u omisión, ni de ningún resultado derivado del uso de esta información.
Las inversiones en activos digitales pueden ser arriesgadas. Evalúa con cuidado los riesgos de un producto y tu tolerancia al riesgo en función de tus propias circunstancias financieras. Para más información, consulta nuestras Condiciones de uso y la Declaración de riesgos.