Pengurus perisian Bitcoin Lightning mengatakan empat tag imej menghantar binari tanpa pembaikan sambil melaporkan versi v26.06.7 semasa permulaan, meninggalkan pengguna yang terkesan dengan tugas lain: semak digest imej dan muat turun imej yang telah diperbaiki jika berbeza.
Beberapa operator Core Lightning yang mencuba pembaruan v26.06.7 melalui Docker mungkin masih kekurangan pembaikan keselamatan tersebut.
Pemberitahuan rilis yang diperbaharui mengenal pasti tag yang terkesan sebagai v26.06.7, latest, v26.06.7-vls dan latest-vls. Mereka menyajikan imej tanpa pembaikan rilis antara 28 Ogos pukul 16:04 UTC dan 1 September. Pemberitahuan tersebut tidak memberikan masa akhir yang tepat.
Proses pembinaan automatik menerbitkan imej daripada tag penempat. Penyelenggara mengatakan mereka telah menggantikannya dan menghapuskan semua rujukan tag kepada manifest yang salah. Tetapi operator yang mengekalkan imej yang cacat tidak boleh bergantung pada versi permulaannya untuk mengesahkan pembaikan telah tiba.
Pelepasan 28 Ogos menetapkan larangan 14 hari terhadap penerbitan sumbernya, merujuk kepada pengumuman yang dirancang pada 11 September. Sehingga 8 September, notis tersebut masih menggambarkan penerbitan itu sebagai akan datang. Penyelenggara mengatakan penundaan ini memberi masa kepada pengendali untuk mengemas kini sebelum penyerang yang berpotensi boleh merekabentuk semula pembaikan tersebut.
Bagaimana untuk memeriksa imej Docker untuk memperbaiki ralat Lightning
Pemelihara meminta sesiapa yang sebelumnya mengambil salah satu daripada empat tag untuk membandingkan digestnya, hash pengenal imej, dengan nilai yang telah diperbaiki:
| Tag Docker | Kemas kini yang telah diperbaiki |
|---|---|
| v26.06.7, terkini | sha256:0421a5f0d1b2e1ad639edfa17d777816040e3850d91bae7f2d32186d9c1e6da4 |
| v26.06.7-vls, latest-vls | sha256:6a5e05c13a65613f8c0fe3830c60248a6724e7206c1c23dd26ac2e98a3e72c1f |
Untuk gambar versi standard, notis ini menyediakan arahan ini untuk mengkaji gambar tempatan. Outputnya sahaja tidak menentukan gambar mana yang sedang dijalankan oleh kontainer yang sedia ada:
docker image inspect --format '{{index .RepoDigests 0}}' elementsproject/lightningd:v26.06.7Jika ringkasan berbeza, arahan muat turun yang berkaitan ialah:
docker pull elementsproject/lightningd:v26.06.7Notis tersebut juga menyediakan docker pull elementsproject/lightningd:latest untuk tag tersebut. Pengguna VLS memerlukan digest VLS yang berasingan dalam jadual. Tetapan VLS_CLN_VERSION mereka juga mesti sepadan dengan v26.06.7, atau remote_hsmd_socket akan menolak untuk dimulakan; penandatangan itu sendiri tetap VLS v0.14.0.
Pengguna yang terpaku pada v26.06.6 atau versi lebih awal terlepas daripada kesilapan pembungkusan ini. Pengecualian ini berkaitan dengan pembungkusan yang rosak; pembaikan keselamatan baharu adalah sebahagian daripada v26.06.7.
Pembetulan pembungkusan mengubah masalah segera operator berkenaan percubaan peningkatan mungkin perlu diperiksa semula semasa tingkap tersebut masih terbuka.
Satu perangkap muat turun lain wujud semasa embargo. Arkib sumber yang dilampirkan secara automatik oleh GitHub bukan sumber v26.06.7, pengurus memperingatkan, jadi membina arkib-arkib tersebut tidak akan menghasilkan binari yang dipertingkatkan seperti yang diiklankan.
Pos Bitcoin Core Lightning Docker bug leaves node operators exposed despite showing updated version muncul pertama kali di CryptoSlate.