アップグレード後、悪意のあるレコードが削除されるまでCore Lightningノードがクラッシュする可能性があります

BitcoinのLightning支払いネットワークで使用されるCore Lightningソフトウェアに開示された脆弱性により、アップグレード後も繰り返しクラッシュが発生する可能性があります。研究者Nishant Bansalは10月24日に、対象バージョンとしてv25.02からv26.04を特定しました。再起動すると、保存された悪意のあるアナウンスが再度読み込まれ、再びクラッシュが発生します。Bansalは、ノードを回復するには運営者が悪意のあるレコードを手動で削除する必要があると述べています。

Core Lightningは4月24日にPR #9082を通じて予防パッチを導入しました。その後、Core Lightningは10月の開示より数ヶ月前の4月25日にv26.04.1で修正をリリースしました。Bitcoin Optechは10月30日にこの脆弱性に注目を向けました。

チャンネルアナウンスは、Lightningルーティンググラフ内の接続を説明します。悪意のあるアナウンスは、以前は未知だったノードを接続の両端として指定しました。脆弱なバージョンはこのアナウンスを受け入れ、ルーティンググラフに追加する前に、オンディスクのgossip_storeにアナウンスを保存しました。グラフは同じノードを二回追加しようとしました。重複防止のセーフガードが、これらのアナウンスを処理する担当コンポーネントであるgossipdを終了させました。Core Lightningはgossipdの失敗を致命的と見なし、ノード全体をシャットダウンしました。

パッチは、アナウンスを受け入れる前にエンドポイントの順序を検証します。このチェックでは、最初のノードIDが2番目のノードIDより厳密に小さいことを要求し、同じエンドポイントIDを持つアナウンスを除外します。この検証により、不正なアナウンスが受け入れられたり保存されたりするのを防ぎます。ただし、この検証は受信したアナウンスにのみ適用され、起動時には既存のgossip_storeレコードの読み込みが継続されます。したがって、クラッシュ前に保存された悪意のあるレコードは、アップグレード後もそのまま残ります。

Bansalは、回復にはgossip_storeから悪意のあるレコードを手動で削除する必要があると述べています。しかし、アップグレードせずにレコードを削除すると、脆弱なインストールが別のクラッシュに対して依然として曝露されたままになります。Bansalの開示によると、攻撃者が制御する資金出力が未使用のままであれば、攻撃者はそのアナウンスを繰り返し送信できます。Bitcoin Optechは、v25.02より前のバージョンはこれらのアナウンスをクラッシュせずに受信し転送できたと述べています。したがって、攻撃者は各脆弱なノードに直接接続する必要がありませんでした。

バージョン v26.04.1 がこの脆弱性に対する修正を含む最も古いリリースです。11月2日現在、最新リリースは10月7日に発表された v26.06.9 です。メンテナーは v26.06.9 のインストールを強く推奨します。

ダウンタイムはサービスを利用できなくなるだけでなく、支払い監視のリスクも生み出します。バーンサルは、オフラインのノードが取り消されたチャネル状態や期限付きの支払い要求をブロックチェーン上で監視できないと警告しています。これらのイベントを見逃したノードは、資金を危険にさらす可能性があります。