LNDは10月30日にv0.20.7-betaおよびv0.21.6-betaをリリースし、MPTCPリスナーはデフォルトで無効化されました。この変更により、これらのリスナーを通じたCVE-2026-98432攻撃経路がブロックされますが、Linuxカーネルの脆弱性は修復されず、他のサービスも保護されません。したがって、影響を受けるパッチ適用されていないカーネルを使用しているライトニングオペレーターは、LNDを更新しても依然として脆弱な状態です。同じマシン上に存在する他のMPTCPサービスが、示された攻撃経路を開放したままにすることがあります。
この脆弱性は、Linux IPv4 TCP接続におけるuse-after-freeメモリ処理に関連し、攻撃者が影響を受けるホスト上でコードを実行できる可能性があります。Ubuntuはこの不具合を深刻と評価し、CVSS 3.1スコアは9.8です。LNDのオペレーター向けノートでは、Goバージョン1.24以降ではLinux MPTCPリスナーがデフォルトで有効化されたと説明されています。その結果、LND 0.21.xはノード接続およびアプリケーションインターフェースに使用されるピア、gRPC、RESTポートでMPTCPを公開してしまいました。
Goセキュリティチームの勧告によると、実証された攻撃手法にはMPTCPリスナーの公開が必要ですが、基盤となるカーネルの欠陥はより広範囲に及びます。勧告では、MPTCPリスナーが存在しないシステムに対しても類似の攻撃が可能である可能性を示唆していますが、そのようなシステムに対する実証された攻撃手法は確立されていません。Goは、各プログラムでMPTCPを個別に無効にすることは脆弱であると警告しています。なぜなら、1つでも公開されたリスナーが残っていると、実証された攻撃経路が維持されるためです。また、Goは明示的なソケット設定がデフォルト設定を上書きする可能性があることも警告しています。これらの勧告は、Linuxに対する実証された攻撃手法を文書化したものであり、LNDノードやBitcoinの盗難に関する証拠ではありません。11月6日に報告されたCore Lightningの修正は、別々のチャネルおよびリモートコマンドの脆弱性に対応するものです。
11月7日の更新後に11月9日にレビューされたUbuntuトラッカーは、Ubuntu 24.04 LTSの標準Linuxパッケージを依然として脆弱とマークしていた。トラッカーには、バージョン6.8.0-149.149における該当パッケージの作業進行中の情報が記載されていた。Ubuntu 22.04 LTSのエントリも同様に脆弱とされ、作業進行中は5.15.0-203.213であった。Canonicalの11月2日のアドバイザリーでは、資格試験が継続される中、カーネル受入テストを実施するユーザー向けに、-proposedリポジトリから修正が利用可能であると述べられた。
Ubuntuの11月1日～7日の作業中ニュースレターでは、24.04を含むいくつかのリリースが-updates段階に進んだと述べられていますが、すべてのカーネルバリアントについては明記されていません。したがって、オペレーターはUbuntuリリース名に頼るのではなく、正確なカーネルパッケージに対して利用可能な更新を確認する必要があります。トラッカーは標準的なUbuntu 26.10のlinuxパッケージを7.3.0-10.10で修正済みとしています。クラウド、ハードウェア有効化、その他のカーネルバリアントには個別のトラッカー項目があり、あるパッケージの修正済み状態が他のパッケージの状態を保証するものではありません。
LNDのメンテナーは、LNDを更新し、ホストレベルでMPTCPを無効にし、ディストリビューションが修正済みカーネルを提供次第、インストールすることを推奨しています。メンテナーは、sudo sysctl -w net.mptcp.enabled=0 コマンドを指定し、設定を継続的に保持するための永続的設定を推奨しています。この設定は各ネットワークネームスペース内で個別に動作するため、Docker利用者はコンテナのネットワーク設定も確認する必要があります。ホストレベルでの変更のみでは、この確認を置き換えることはできません。LNDの更新が即座にできない利用者は、GODEBUG=multipathtcp=0 を指定して既存のバイナリを起動することで、GoのデフォルトのMPTCPリスナーを無効化できます。メンテナーは、カーネルを修復する前にこのデフォルトを復元しないよう利用者に警告しています。
Canonicalは、現在実行中のカーネルを特定するためにuname -rを使用することをお勧めします。Canonicalは、カーネルセキュリティ更新のインストール後に再起動を必須としています。LNDの更新とカーネルパッケージのインストールは別々のステップであり、オペレーティングシステムの修復はパッチ適用済みのカーネルが実行されているときに完了します。
Bitcoin Lightningのセキュリティ更新でCVE-2026-98432をブロック、Linuxカーネルの脆弱性は継続
CryptoSlate共有
概要
Bitcoinニュース：LNDは10月30日、CVE-2026-98432攻撃を防ぐため、デフォルトでMPTCPリスナーを無効にするv0.20.7-betaおよびv0.21.6-betaをリリースしました。Linuxカーネルのこの脆弱性はまだパッチが適用されておらず、MPTCPサービスを提供するシステムを露出させています。Ubuntuはこの脆弱性をCVSS 3.1スコア9.8で「深刻」と評価しており、IPv4 TCPにおけるuse-after-freeメモリ処理が関係しています。LNDのメンテナーは、LNDのアップデート、ホストレベルでのMPTCP無効化、およびパッチ済みカーネルの利用を推奨しています。
出典:原文を表示
免責事項: 本ページの情報はサードパーティからのものであり、必ずしもKuCoinの見解や意見を反映しているわけではありません。この内容は一般的な情報提供のみを目的として提供されており、いかなる種類の表明や保証もなく、金融または投資助言として解釈されるものでもありません。KuCoinは誤記や脱落、またはこの情報の使用に起因するいかなる結果に対しても責任を負いません。
デジタル資産への投資にはリスクが伴います。商品のリスクとリスク許容度をご自身の財務状況に基づいて慎重に評価してください。詳しくは利用規約およびリスク開示を参照してください。