LND merilis v0.20.7-beta dan v0.21.6-beta pada 30 Oktober dengan fitur MPTCP listeners dinonaktifkan secara default. Perubahan ini memblokir jalur serangan CVE-2026-98432 yang telah terbukti melalui listener tersebut, tetapi tidak memperbaiki kerentanan kernel Linux atau melindungi layanan lainnya. Operator Lightning yang menggunakan kernel yang terdampak dan belum diperbarui tetap terpapar setelah memperbarui LND, perangkat lunak yang menjalankan node pembayaran operator mereka. Layanan MPTCP lain yang terpapar di mesin yang sama dapat tetap membuka jalur serangan yang telah terbukti.
Kerentanan ini melibatkan penanganan memori use-after-free pada koneksi TCP IPv4 Linux dan dapat memungkinkan penyerang menjalankan kode pada host yang terdampak. Ubuntu memberi peringatan kerentanan ini sebagai kritis, dengan skor CVSS 3.1 sebesar 9.8. Catatan operator LND menjelaskan bahwa versi Go mulai dari 1.24 secara default mengaktifkan listener MPTCP Linux. Catatan tersebut menyatakan bahwa LND 0.21.x akibatnya membuka MPTCP pada port peer, gRPC, dan REST yang digunakan untuk koneksi node dan antarmuka aplikasi.
Pernyataan tim keamanan Go menyatakan bahwa eksploit yang ditunjukkan memerlukan listener MPTCP yang terbuka, sementara cacat kernel yang mendasarinya memiliki cakupan yang lebih luas. Pernyataan tersebut menyebutkan bahwa serangan serupa mungkin dimungkinkan tanpa listener MPTCP, tetapi tidak membuktikan eksploit yang terjadi pada sistem tanpa listener tersebut. Go memperingatkan bahwa menonaktifkan MPTCP secara terpisah di setiap program rentan karena satu listener yang tetap terbuka masih mempertahankan jalur yang terbukti. Go juga memperingatkan bahwa pengaturan socket eksplisit dapat menggantikan pengaturan default. Pernyataan tersebut mendokumentasikan eksploit Linux yang terbukti, bukan bukti serangan terhadap node LND atau pencurian bitcoin. Perbaikan Core Lightning yang dilaporkan pada 6 November menangani kerentanan saluran dan perintah jarak jauh yang terpisah.
Tracker Ubuntu, ditinjau pada 9 November setelah pembaruan pada 7 November, masih menandai paket linux standar untuk Ubuntu 24.04 LTS sebagai rentan. Tracker tersebut mencantumkan pekerjaan yang sedang berlangsung untuk paket tersebut di versi 6.8.0-149.149. Entri Ubuntu 22.04 LTS juga tetap rentan, dengan pekerjaan yang sedang berlangsung di 5.15.0-203.213. Peringatan Canonical pada 2 November menyatakan bahwa perbaikan tersedia melalui repositori -proposed bagi pengguna yang melakukan pengujian penerimaan kernel sementara pengujian kualifikasi berlanjut.
Surat kabar progres kerja Ubuntu untuk 1-7 November menyebutkan beberapa rilis, termasuk 24.04, telah maju ke -updates. Namun, surat kabar tersebut tidak menentukan setiap varian kernel. Oleh karena itu, operator harus memverifikasi pembaruan yang tersedia untuk paket kernel yang tepat, bukan hanya mengandalkan nama rilis Ubuntu. Tracker menandai paket linux standar Ubuntu 26.10 sebagai diperbaiki di 7.3.0-10.10. Varian kernel cloud, hardware-enablement, dan lainnya memiliki entri tracker masing-masing, sehingga status diperbaiki satu paket tidak menentukan status paket lainnya.
Pemelihara LND merekomendasikan untuk memperbarui LND, menonaktifkan MPTCP pada tingkat host, dan menginstal kernel yang diperbaiki segera setelah distribusi menyediakannya. Pemelihara menentukan perintah sudo sysctl -w net.mptcp.enabled=0 dan merekomendasikan konfigurasi persisten untuk mempertahankan pengaturan tersebut. Pengaturan ini beroperasi secara terpisah dalam setiap namespace jaringan, sehingga operator Docker juga harus memeriksa konfigurasi jaringan kontainer. Perubahan pada tingkat host saja tidak menggantikan pemeriksaan tersebut. Operator yang tidak dapat segera memperbarui LND dapat menjalankan binary yang ada dengan GODEBUG=multipathtcp=0 untuk menonaktifkan listener MPTCP bawaan Go. Pemelihara memperingatkan operator agar tidak mengembalikan pengaturan bawaan tersebut sebelum memperbaiki kernel.
Canonical merekomendasikan menggunakan uname -r untuk mengidentifikasi kernel yang sedang berjalan. Canonical memerlukan reboot setelah pemasangan pembaruan keamanan kernel. Pembaruan LND dan pemasangan paket kernel adalah langkah terpisah, dan perbaikan sistem operasi dianggap selesai hanya ketika kernel yang telah diperbaiki sedang berjalan.
Pembaruan Keamanan Bitcoin Lightning Memblokir CVE-2026-98432, Kerentanan Kernel Linux Masih Ada
CryptoSlateBagikan
Ringkasan
Berita bitcoin: LND merilis v0.20.7-beta dan v0.21.6-beta pada 30 Oktober untuk memblokir serangan CVE-2026-98432 dengan menonaktifkan listener MPTCP secara default. Kelemahan kernel Linux tetap tidak diperbaiki, sehingga membuka kerentanan sistem dengan layanan MPTCP. Dinilai kritis oleh Ubuntu dengan skor CVSS 3.1 sebesar 9.8, kelemahan ini melibatkan penanganan memori use-after-free pada IPv4 TCP. Pemelihara LND menyarankan untuk memperbarui LND, menonaktifkan MPTCP pada tingkat host, dan menginstal kernel yang telah diperbaiki saat tersedia.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.