बिटकॉइन लाइटनिंग सुरक्षा अपडेट CVE-2026-98432 को ब्लॉक करता है, लिनक्स कर्नेल दोष अभी भी मौजूद है

LND ने 30 अक्टूबर को v0.20.7-beta और v0.21.6-beta जारी किया, जिसमें MPTCP लिसनर्स डिफ़ॉल्ट रूप से अक्षम हैं। यह बदलाव उन लिसनर्स के माध्यम से CVE-2026-98432 हमले के मार्ग को रोकता है, लेकिन लिनक्स कर्नेल की कमजोरी को ठीक नहीं करता है और अन्य सेवाओं की सुरक्षा नहीं करता है। इसलिए, प्रभावित, अपडेट नहीं किए गए कर्नेल का उपयोग करने वाले Lightning ऑपरेटर्स LND के अपडेट के बाद भी सुरक्षित नहीं हैं, जो ऑपरेटर्स के भुगतान नोड्स चलाता है। एक ही मशीन पर मौजूद एक अन्य सुरक्षित MPTCP सेवा उस हमले के मार्ग को खुला रख सकती है।

इस वुल्नरेबिलिटी में Linux IPv4 TCP कनेक्शन में use-after-free मेमोरी हैंडलिंग शामिल है और यह हमलावर को प्रभावित होस्ट पर कोड निष्पादित करने की अनुमति दे सकती है। Ubuntu इस दोष को गंभीर के रूप में रेट करता है, जिसका CVSS 3.1 स्कोर 9.8 है। LND के ऑपरेटर नोट्स में बताया गया है कि 1.24 से शुरू होने वाले Go संस्करणों में Linux MPTCP लिस्टनर्स डिफ़ॉल्ट रूप से सक्षम हो गए हैं। नोट्स में कहा गया है कि LND 0.21.x परिणामस्वरूप नोड कनेक्शन और एप्लिकेशन इंटरफ़ेस के लिए उपयोग किए जाने वाले पीयर, gRPC और REST पोर्ट्स पर MPTCP को सुलभ कर दिया।

Go सुरक्षा टीम की सलाह के अनुसार, प्रदर्शित दुरुपयोग के लिए एक उजागर MPTCP लिसनर की आवश्यकता होती है, जबकि मूल कर्नेल दोष का दायरा अधिक व्यापक है। सलाह में कहा गया है कि MPTCP लिसनर के बिना भी समान हमले संभव हो सकते हैं, लेकिन उन लिसनर्स के बिना सिस्टम के खिलाफ प्रदर्शित दुरुपयोग की पुष्टि नहीं की गई है। Go चेतावनी देता है कि प्रत्येक प्रोग्राम में MPTCP को अलग-अलग बंद करना अस्थिर है, क्योंकि एक शेष उजागर लिसनर प्रदर्शित मार्ग को बनाए रखता है। Go यह भी चेतावनी देता है कि स्पष्ट सॉकेट सेटिंग्स डिफ़ॉल्ट्स को ओवरराइड कर सकती हैं। सलाह में एक प्रदर्शित Linux दुरुपयोग का दस्तावेजीकरण किया गया है, LND नोड्स या बिटकॉइन चोरी के खिलाफ हमलों के सबूत का नहीं। 6 नवंबर को रिपोर्ट किए गए Core Lightning ठीक करने से संबंधित हैं, जो अलग-अलग चैनल और रिमोट-कमांड वुल्नरेबिलिटीज़ को संबोधित करते हैं।

यूबुंटू ट्रैकर, जिसकी 9 नवंबर को 7 नवंबर के अपडेट के बाद समीक्षा की गई, अभी भी यूबुंटू 24.04 LTS के लिए मानक लिनक्स पैकेज को असुरक्षित के रूप में चिह्नित कर रहा है। ट्रैकर ने 6.8.0-149.149 संस्करण में उस पैकेज के लिए चल रहे कार्य को सूचीबद्ध किया है। यूबुंटू 22.04 LTS प्रविष्टि भी असुरक्षित रही, जिसमें 5.15.0-203.213 में कार्य चल रहा है। कैनोनिकल की 2 नवंबर की सलाह में कहा गया कि कर्नल स्वीकृति परीक्षण कर रहे उपयोगकर्ताओं के लिए समाधान -proposed भंडार से उपलब्ध हैं, जबकि योग्यता परीक्षण जारी है।

अब्यूंटू के नवंबर 1-7 के कार्य-के-लिए-प्रगति समाचार पत्र में कहा गया कि कुछ रिलीज़, जिसमें 24.04 शामिल है, -updates तक पहुँच गए हैं। हालाँकि, समाचार पत्र ने प्रत्येक कर्नेल वैरिएंट का उल्लेख नहीं किया। इसलिए, संचालकों को अपने उसी कर्नेल पैकेज के लिए उपलब्ध अपडेट की पुष्टि करनी चाहिए, और केवल अब्यूंटू रिलीज़ के नाम पर निर्भर नहीं रहना चाहिए। ट्रैकर मानक अब्यूंटू 26.10 linux पैकेज को 7.3.0-10.10 में ठीक होने के रूप में चिह्नित करता है। क्लाउड, हार्डवेयर-एनेबलमेंट और अन्य कर्नेल वैरिएंट के लिए अलग-अलग ट्रैकर प्रविष्टियाँ हैं, इसलिए एक पैकेज की ठीक होने की स्थिति किसी दूसरे पैकेज की स्थिति को स्थापित नहीं करती।

LND रखरखावकर्ता अनुशंसा करते हैं कि LND को अपडेट किया जाए, होस्ट स्तर पर MPTCP को बंद कर दिया जाए और जब तक वितरण एक मरम्मत किए गए कर्नेल प्रदान न करे, तब तक इसे स्थापित किया जाए। रखरखावकर्ता सुझाव देते हैं कि sudo sysctl -w net.mptcp.enabled=0 कमांड का उपयोग किया जाए और सेटिंग को संरक्षित रखने के लिए स्थायी कॉन्फ़िगरेशन की सिफारिश की जाए। यह सेटिंग प्रत्येक नेटवर्क नेमस्पेस में अलग से कार्य करती है, इसलिए Docker ऑपरेटर्स को कंटेनर नेटवर्क कॉन्फ़िगरेशन की भी जांच करनी चाहिए। केवल होस्ट स्तर पर बदलाव इस जांच को प्रतिस्थापित नहीं करता है। LND को तुरंत अपडेट करने में असमर्थ ऑपरेटर GODEBUG=multipathtcp=0 के साथ मौजूदा बाइनरी को चला सकते हैं ताकि Go के डिफ़ॉल्ट MPTCP लिसनर्स को बंद किया जा सके। रखरखावकर्ता ऑपरेटर्स को चेतावनी देते हैं कि कर्नेल मरम्मत होने से पहले उस डिफ़ॉल्ट को पुनः सक्रिय न करें।

Canonical अनुशंसा करता है कि वर्तमान में चल रहे कर्नेल की पहचान के लिए uname -r का उपयोग किया जाए। कर्नेल सुरक्षा अपडेट स्थापित करने के बाद Canonical रीबूट की आवश्यकता रखता है। LND को अपडेट करना और कर्नेल पैकेज स्थापित करना अलग-अलग चरण हैं, और ऑपरेटिंग सिस्टम की मरम्मत तभी पूरी होती है जब पैच किया गया कर्नेल चल रहा हो।