Une faille divulguée dans Core Lightning, un logiciel utilisé sur le réseau de paiement Lightning de Bitcoin, peut provoquer des plantages répétés même après une mise à jour. La divulgation du chercheur Nishant Bansal du 24 octobre identifie les versions v25.02 à v26.04 comme étant affectées. Un redémarrage recharge à nouveau l'annonce malveillante stockée, déclenchant un autre plantage. Bansal affirme que les opérateurs doivent supprimer manuellement l'enregistrement malveillant pour récupérer le nœud.
Core Lightning a intégré le correctif préventif via la PR #9082 le 24 avril. Core Lightning a ensuite publié la correction dans la version v26.04.1 le 25 avril, plusieurs mois avant la divulgation d'octobre. Bitcoin Optech a attiré l'attention sur cette faille le 30 octobre.
Les annonces de canal décrivent les connexions au sein du graphe de routage Lightning. L'annonce malveillante désignait un nœud précédemment inconnu comme les deux extrémités d'une connexion. Les versions vulnérables acceptaient l'annonce et l'enregistraient dans le gossip_store sur disque avant de l'ajouter au graphe de routage. Le graphe a tenté d'ajouter le même nœud deux fois. Une mesure de prévention des doublons a arrêté gossipd, le composant chargé de traiter ces annonces. Core Lightning a considéré l'échec de gossipd comme fatal et a arrêté l'ensemble du nœud.
Le correctif valide l'ordre des points de terminaison avant d'accepter une annonce. La vérification exige que le premier ID de nœud soit strictement inférieur au second, excluant ainsi les annonces ayant des ID de points de terminaison identiques. Cette vérification empêche l'acceptation et l'enregistrement d'annonces mal formées. Toutefois, la validation s'applique uniquement aux annonces entrantes, tandis que le démarrage continue de charger les enregistrements existants de gossip_store. Une mise à niveau laisse donc en place tout enregistrement malveillant stocké avant le plantage.
Bansal affirme que la récupération nécessite de supprimer manuellement l'enregistrement malveillant de gossip_store. Toutefois, supprimer l'enregistrement sans effectuer une mise à niveau laisse une installation vulnérable exposée à un autre plantage. La divulgation de Bansal indique qu'un attaquant peut renvoyer l'annonce tant que la sortie de financement contrôlée par l'attaquant reste non dépensée. Bitcoin Optech précise que les versions antérieures à la v25.02 pouvaient recevoir et transmettre ces annonces sans plantage. Un attaquant n'avait donc pas besoin d'une connexion directe à chaque nœud vulnérable.
La version v26.04.1 est la première version contenant une correction pour cette faille. Au 2 novembre, la version v26.06.9, publiée le 7 octobre, est la dernière version disponible. Les maintaineurs recommandent fortement d'installer la version v26.06.9.
Les temps d'arrêt créent des risques de surveillance des paiements en plus de rendre le service indisponible. Bansal avertit qu'un nœud hors ligne ne peut pas surveiller la blockchain pour détecter les états de canal révoqués ou les demandes de paiement avec échéance. Un nœud qui manque ces événements peut mettre les fonds en péril.
Les nœuds Core Lightning peuvent planter après une mise à jour jusqu'à ce que l'enregistrement malveillant soit supprimé
CryptoSlatePartager
Résumé
Une mise à jour récente du logiciel Core Lightning sur la blockchain peut provoquer des plantages de nœuds en raison d'un problème lié à un enregistrement malveillant. Ce défaut affecte les versions v25.02 à v26.04, où une annonce de canal défectueuse crée des entrées de nœuds en double. Un correctif a été ajouté dans la version v26.04.1 le 25 avril, mais les anciens enregistrements malveillants persistent. Les chercheurs indiquent qu'un attaquant peut réactiver ce défaut si la sortie de financement n'a pas été dépensée. Les mainteneurs recommandent de passer à la version v26.06.9 pour se protéger. Une mise à niveau du réseau est conseillée pour éviter toute interruption.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.