Sebuah kelemahan yang diungkapkan di Core Lightning, perangkat lunak yang digunakan pada jaringan pembayaran Lightning Bitcoin, dapat menyebabkan crash berulang bahkan setelah pembaruan. Pengungkapan oleh peneliti Nishant Bansal pada 24 Oktober mengidentifikasi versi v25.02 hingga v26.04 sebagai versi yang terdampak. Restart memuat kembali pengumuman jahat yang tersimpan, yang memicu crash lainnya. Bansal mengatakan operator harus menghapus catatan jahat secara manual untuk memulihkan node.
Core Lightning mengintegrasikan patch pencegahan melalui PR #9082 pada 24 April. Core Lightning kemudian merilis perbaikan tersebut dalam v26.04.1 pada 25 April, beberapa bulan sebelum pengungkapan pada Oktober. Bitcoin Optech menarik perhatian terhadap kelemahan tersebut pada 30 Oktober.
Pengumuman saluran menjelaskan koneksi dalam grafik routing Lightning. Pengumuman jahat tersebut menetapkan satu node yang sebelumnya tidak dikenal sebagai kedua ujung koneksi. Versi yang rentan menerima pengumuman tersebut dan menyimpannya di gossip_store di disk sebelum menambahkan pengumuman ke grafik routing. Grafik mencoba menambahkan node yang sama dua kali. Perlindungan pencegahan duplikat menghentikan gossipd, komponen yang bertanggung jawab memproses pengumuman ini. Core Lightning memperlakukan kegagalan gossipd sebagai fatal dan mematikan seluruh node.
Patch ini memvalidasi urutan endpoint sebelum menerima pengumuman. Pemeriksaan ini memerlukan ID node pertama harus lebih kecil secara ketat daripada ID kedua, mengecualikan pengumuman dengan ID endpoint yang identik. Pemeriksaan ini mencegah pengumuman yang rusak diterima dan disimpan. Namun, validasi ini berlaku untuk pengumuman yang masuk, sementara startup tetap memuat catatan gossip_store yang sudah ada. Oleh karena itu, pembaruan meninggalkan catatan jahat apa pun yang disimpan sebelum kegagalan tetap ada.
Bansal mengatakan pemulihan memerlukan penghapusan catatan jahat dari gossip_store secara manual. Namun, menghapus catatan tersebut tanpa melakukan pembaruan membuat instalasi yang rentan tetap terpapar terhadap kegagalan lainnya. Pengungkapan Bansal menyatakan bahwa penyerang dapat mengirimkan pengumuman tersebut kembali selama output pendanaan yang dikendalikan oleh penyerang tetap belum dihabiskan. Bitcoin Optech menyatakan bahwa versi sebelum v25.02 dapat menerima dan meneruskan pengumuman-pengumuman ini tanpa mengalami kegagalan. Oleh karena itu, penyerang tidak memerlukan koneksi langsung ke setiap node yang rentan.
Versi v26.04.1 adalah rilis paling awal yang memuat perbaikan untuk kelemahan ini. Sejak 2 November, v26.06.9 adalah rilis terbaru, yang dikeluarkan pada 7 Oktober. Para pemelihara sangat merekomendasikan untuk menginstal v26.06.9.
Waktu henti menciptakan risiko pemantauan pembayaran selain membuat layanan tidak tersedia. Bansal memperingatkan bahwa node offline tidak dapat memantau blockchain untuk status saluran yang dicabut atau klaim pembayaran dengan batas waktu. Node yang melewatkan peristiwa tersebut dapat membahayakan dana.
Node Core Lightning Mungkin Rusak Setelah Pembaruan Hingga Rekaman Berbahaya Dihapus
CryptoSlateBagikan
Ringkasan
Peningkatan blockchain terbaru pada perangkat lunak Core Lightning dapat menyebabkan kegagalan node akibat masalah rekaman jahat. Kelemahan ini memengaruhi versi v25.02 hingga v26.04, di mana pengumuman saluran yang buruk menciptakan entri node ganda. Perbaikan telah ditambahkan di v26.04.1 pada 25 April, tetapi rekaman jahat lama tetap ada. Para peneliti mengatakan penyerang dapat memicu kembali kelemahan ini jika output pendanaan belum dibelanjakan. Penjaga merekomendasikan untuk memperbarui ke v26.06.9 untuk perlindungan. Disarankan untuk melakukan peningkatan jaringan untuk menghindari gangguan.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.