LND a publié les versions v0.20.7-beta et v0.21.6-beta le 30 octobre avec les écouteurs MPTCP désactivés par défaut. Ce changement bloque la voie d'attaque CVE-2026-98432 démontrée via ces écouteurs, mais ne corrige pas la vulnérabilité du noyau Linux ni ne protège les autres services. Les opérateurs Lightning utilisant des noyaux affectés et non corrigés restent donc exposés après la mise à jour de LND, le logiciel qui exécute les nœuds de paiement des opérateurs. Un autre service MPTCP exposé sur la même machine peut maintenir la voie d'attaque démontrée ouverte.
La vulnérabilité concerne une gestion mémoire use-after-free dans les connexions TCP IPv4 sous Linux et permet à un attaquant d'exécuter du code sur un hôte affecté. Ubuntu classe cette faille comme critique, avec un score CVSS 3.1 de 9,8. Les notes de l'opérateur de LND indiquent que les versions de Go à partir de 1.24 activent par défaut les écouteurs MPTCP sous Linux. Les notes précisent que LND 0.21.x expose par conséquent MPTCP sur les ports peer, gRPC et REST utilisés pour les connexions de nœud et les interfaces d'application.
Le conseil de l'équipe de sécurité Go indique que l'exploit démontré nécessite un écouteur MPTCP exposé, tandis que le défaut sous-jacent du noyau a un champ d'application plus large. Le conseil précise que des attaques similaires pourraient être possibles sans écouteurs MPTCP, mais ne démontre pas d'exploit contre les systèmes sans ces écouteurs. Go avertit que désactiver MPTCP séparément dans chaque programme est fragile, car un seul écouteur exposé restant préserve la voie démontrée. Go souligne également que les paramètres explicites des sockets peuvent remplacer les paramètres par défaut. Les conseils documentent un exploit Linux démontré, et non des preuves d'attaques contre des nœuds LND ou des vols de bitcoin. Les correctifs de Core Lightning annoncés le 6 novembre traitent des vulnérabilités distinctes liées aux canaux et aux commandes distantes.
Le suivi Ubuntu, revu le 9 novembre après une mise à jour du 7 novembre, continuait de marquer le paquet Linux standard pour Ubuntu 24.04 LTS comme vulnérable. Le suivi indiquait un travail en cours pour ce paquet en version 6.8.0-149.149. L'entrée pour Ubuntu 22.04 LTS restait également vulnérable, avec un travail en cours en 5.15.0-203.213. L'avis de Canonical du 2 novembre indiquait que des correctifs étaient disponibles via le dépôt -proposed pour les utilisateurs effectuant des tests d'acceptation du noyau tandis que les tests de qualification se poursuivaient.
Le bulletin d'information en cours de rédaction d'Ubuntu pour la période du 1er au 7 novembre indique que certaines versions, notamment 24.04, ont progressé vers -updates. Toutefois, le bulletin ne précise pas chaque variante de noyau. Les administrateurs doivent donc vérifier la mise à jour disponible pour le paquet noyau exact, et ne pas se fier uniquement au nom de la version d'Ubuntu. Le suiveur indique que le paquet linux standard d'Ubuntu 26.10 est corrigé dans la version 7.3.0-10.10. Les variantes de noyau cloud, hardware-enablement et autres disposent de entrées individuelles dans le suiveur, de sorte que le statut corrigé d'un paquet ne détermine pas celui d'un autre paquet.
Les maintaineurs de LND recommandent de mettre à jour LND, de désactiver MPTCP au niveau de l'hôte et d'installer un noyau réparé dès que la distribution le propose. Les maintaineurs indiquent la commande sudo sysctl -w net.mptcp.enabled=0 et recommandent une configuration persistante pour conserver ce paramètre. Ce paramètre fonctionne séparément dans chaque espace de noms réseau, donc les opérateurs Docker doivent également examiner la configuration réseau des conteneurs. Un changement au niveau de l'hôte seul ne remplace pas cette vérification. Les opérateurs unable de mettre à jour LND immédiatement peuvent lancer l'exécutable existant avec GODEBUG=multipathtcp=0 pour désactiver les écouteurs MPTCP par défaut de Go. Les maintaineurs avertissent les opérateurs de ne pas restaurer ce paramètre par défaut avant de réparer le noyau.
Canonical recommande d'utiliser uname -r pour identifier le noyau actuellement en cours d'exécution. Canonical exige un redémarrage après l'installation de la mise à jour de sécurité du noyau. La mise à jour de LND et l'installation d'un paquet noyau sont des étapes distinctes, et la réparation du système d'exploitation est terminée uniquement lorsque le noyau corrigé est en cours d'exécution.
Mise à jour de sécurité Bitcoin Lightning bloque CVE-2026-98432, la faille du noyau Linux persiste
CryptoSlatePartager
Résumé
Actualités sur le bitcoin : LND a publié les versions v0.20.7-beta et v0.21.6-beta le 30 octobre pour bloquer l'attaque CVE-2026-98432 en désactivant par défaut les écouteurs MPTCP. La faille du noyau Linux reste non corrigée, exposant les systèmes disposant de services MPTCP. Évaluée comme critique par Ubuntu avec un score CVSS 3.1 de 9,8, cette faille concerne la gestion mémoire use-after-free dans IPv4 TCP. Les maintainers de LND conseillent de mettre à jour LND, de désactiver MPTCP au niveau de l'hôte et d'installer un noyau corrigé dès qu'il sera disponible.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.