I-release ng LND ang v0.20.7-beta at v0.21.6-beta noong October 30 na may disabled na MPTCP listeners sa default. Ang pagbabago ay nagbublock sa ipinakita na attack route ng CVE-2026-98432 sa pamamagitan ng mga listener na iyon, ngunit hindi ito nagpapabuti sa vulnerability ng Linux kernel o nagpaprotekta sa iba pang mga serbisyo. Kaya nananatiling eksposed ang mga Lightning operator na gumagamit ng affected, unpatched kernels matapos i-update ang LND, ang software na nagpapatakbo sa kanilang payment nodes. Maaari pa ring panatilihin ang bukas na attack route sa pamamagitan ng isa pang eksposed na MPTCP service sa parehong machine.
Ang vulnerability ay naglalaman ng use-after-free na paghawak ng memorya sa Linux IPv4 TCP connections at maaaring pahintulutan ng isang attacker na i-execute ang code sa isang naaapektuhang host. Ipinapahiwatig ng Ubuntu na ang kamalian ay critical, may CVSS 3.1 score na 9.8. Ang mga tala ng operator ng LND ay nagpapaliwanag na ang mga bersyon ng Go mula 1.24 ay pinagana ang Linux MPTCP listeners bilang default. Sinasabi ng mga tala na ang LND 0.21.x ay nakapag-expose ng MPTCP sa peer, gRPC, at REST ports na ginagamit para sa node connections at application interfaces.
Ang abiso ng Go Security Team ay nagsasabi na ang ipinakita na exploit ay nangangailangan ng exposed MPTCP listener, habang ang mas malalim na kernel defect ay may mas malawak na sakop. Ayon sa abiso, posibleng magkaroon ng katulad na mga serangan nang walang MPTCP listeners, ngunit hindi ito nagpapatotoo ng ipinakita na exploit laban sa mga sistema na walang mga listener na iyon. Binaril ng Go na ang pag-disables ng MPTCP nang hiwalay sa bawat programa ay mahina dahil ang isang natitirang exposed listener ay nananatiling nagpapahintulot sa ipinakita na ruta. Binaril din ng Go na ang mga eksplisitong socket settings ay maaaring pabagalin ang defaults. Ipinapakita ng mga abiso ang ipinakita na Linux exploit, hindi ebidensya ng mga serangan laban sa LND nodes o pagkawala ng bitcoin. Ang mga pag-aayos sa Core Lightning na inireseta noong Nobyembre 6 ay tumutugon sa hiwalay na mga vulnerability sa channel at remote-command.
Ang Ubuntu tracker, na inilahad noong Nobyembre 9 pagkatapos ng update noong Nobyembre 7, ay patuloy na nagmarka ng standard linux package para sa Ubuntu 24.04 LTS bilang vulnerable. Ang tracker ay listahan ang work in progress para sa package na iyon sa bersyon 6.8.0-149.149. Ang entry para sa Ubuntu 22.04 LTS ay patuloy ring vulnerable, kasama ang work in progress sa 5.15.0-203.213. Ang advisory ni Canonical noong Nobyembre 2 ay nagsabi na ang mga fix ay available sa pamamagitan ng -proposed repository para sa mga user na gumagawa ng kernel acceptance tests habang patuloy ang qualification testing.
Sinabi ng newsletter ng Ubuntu para sa November 1-7 na ang ilang mga release, kabilang ang 24.04, ay naproseso na sa -updates. Gayunpaman, hindi sinipi ng newsletter ang bawat variant ng kernel. Dapat kaya ng mga operator na i-verify ang update na available para sa eksaktong kernel package at hindi lamang mag-asa sa pangalan ng Ubuntu release. Ang tracker ay nagmarka ang standard na Ubuntu 26.10 linux package bilang naka-fix sa 7.3.0-10.10. May sariling tracker entry ang Cloud, hardware-enablement at iba pang kernel variants, kaya ang fixed status ng isang package ay hindi nagtataguyod ng status ng ibang package.
Rekomendahan ng mga tagapangalaga ng LND na i-update ang LND, i-disables ang MPTCP sa host level, at i-install ang pinagbagoang kernel agad na makalabas ng distribution. Tukoy ng mga tagapangalaga ang utos na sudo sysctl -w net.mptcp.enabled=0 at inirerekomenda ang persistent configuration upang panatilihin ang setting. Nagpapagana ang setting nang hiwalay sa bawat network namespace, kaya kailangan din ng mga operator ng Docker na suriin ang container network configuration. Hindi nalilipat ng isang host-level na pagbabago ang pagsusuri na ito. Ang mga operator na hindi makapag-update ng LND agad ay maaaring i-launch ang umiiral na binary gamit ang GODEBUG=multipathtcp=0 upang i-disables ang default MPTCP listeners ng Go. Babala ng mga tagapangalaga sa mga operator na huwag muling i-restore ang default na ito bago mapagbagoan ang kernel.
Rekomenda ng Canonical ang paggamit ng uname -r upang makilala ang kernel na kasalukuyang tumatakbo. Kailangan ng Canonical ang pag-reboot pagkatapos ng pag-install ng kernel security update. Ang pag-update ng LND at ang pag-install ng kernel package ay magkakahiwalay na hakbang, at tapos na ang pag-aayos ng operating system kapag tumatakbo na ang patched kernel.
Bitcoin Lightning Security Update ay Nagbalewala sa CVE-2026-98432, Patuloy ang Linux Kernel Flaw
CryptoSlateI-share
Summary
Balita tungkol sa bitcoin: I-release ng LND ang v0.20.7-beta at v0.21.6-beta noong Oktubre 30 upang pigilan ang serangan ng CVE-2026-98432 sa pamamagitan ng pag-disables ng MPTCP listeners bilang default. Ang kamalian sa Linux kernel ay nananatiling hindi pa na-patch, na nagpapakita ng mga sistema na may MPTCP services. Pinahalagahan bilang kritikal ng Ubuntu na may CVSS 3.1 score na 9.8, ang kamalian ay may kaugnayan sa use-after-free memory handling sa IPv4 TCP. Nangangailangan ng mga tagapagpanatili ng LND na i-update ang LND, i-disables ang MPTCP sa host level, at i-install ang fixed kernel kapag available.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.