Lightning Labs mengeluarkan rilis kecemasan lnd v0.21.6-beta dan backport v0.20.7-beta pada 30 Oktober. Kedua rilis ini mematikan penerima Multipath TCP (MPTCP) secara lalai, menghalangi laluan yang telah ditunjukkan untuk mendapatkan akses root jauh melalui LND. Kelemahan asas, CVE-2026-98432, mempengaruhi pemprosesan genggaman TCP IPv4 dalam kernel Linux dan membawa skor CVSS sebanyak 9.8.
Pembangun Bitcoin Core dan Lightning, Matt Corallo, menarik perhatian terhadap kerentanan tersebut pada 30 Oktober. Corallo mengkritik respons perlahan Ubuntu dan menggambarkan kelemahan itu sebagai "vuln Linux paling kritikal sepanjang masa." Frontier Red Team Anthropic kemudian menunjukkan eksploit akar jarak jauh terhadap sistem dengan pendengar MPTCP yang terbuka.
Peter Todd memperingatkan pada 30 Oktober bahawa pengendali yang menjalankan LND di Linux dengan port terbuka harus mematikan nod Bitcoin Lightning sehingga pampasan kernel atau langkah pengurangan diterapkan. Serangan yang ditunjukkan memerlukan penerima MPTCP, yang diaktifkan secara lalai oleh versi Go 1.24 dan seterusnya. Oleh itu, versi LND terkini, yang ditulis dalam Go, menggunakan penerima MPTCP untuk port rakan, gRPC, dan REST apabila kernel menyokong ciri tersebut.
Lightning Labs menggambarkan rilis tersebut sebagai tindakan pengurangan, bukan penyelesaian penuh. Lightning Labs menyatakan bahawa kernel yang telah diperbaiki diperlukan untuk menyelesaikan kerentanan asas sepenuhnya. Perkhidmatan lain yang berjalan di mesin tersebut masih terdedah sehingga MPTCP dimatikan di seluruh hos atau kernel menerima kemas kini. Olaoluwa Osuntokun dan Lightning Labs kedua-duanya merekomendasikan pemasangan kemas kini LND.
Penyelidik keselamatan Marcus Hutchins kemudian melaporkan pemindaian di seluruh internet yang selari dengan penyerang yang mencari sistem yang rentan. Hutchins mendapati sekitar 2,1 juta pelayan yang boleh diakses melalui MPTCP pada port 443. International Cyber Digest mengumumkan penemuan ini pada 4 November, menekankan aktiviti pemindaian dan jadual pembaikian Ubuntu yang lebih perlahan.
Canonical telah menyediakan kernel yang telah diperbaiki untuk Ubuntu 22.04, 24.04 dan 26.04 melalui saluran opt-in proposed pocket. Namun, kernel yang telah diperbaiki belum sampai ke saluran kemas kini biasa Ubuntu. Red Hat telah mengeluarkan pampasan untuk RHEL 8/9/10 pada 1 November. Debian, Amazon Linux dan distribusi lain telah mengeluarkan pampasan sebelum ini.
UmbrelOS 2.0.1 telah menghantar pampasan kernel untuk peranti x86 pada 1 November. UmbrelOS telah mengaplikasikan langkah pengurangan blok trafik kepada peranti Raspberry Pi kerana kernel yang telah dipampas belum tersedia. Tiada eksploitasi di alam nyata telah disahkan. CISA tidak disenaraikan kerentanan ini dalam katalog Kerentanan Diketahui Dieksploitasi. Anthropic tidak menerbitkan demonstrasi root jarak jauh.
Pelayan yang boleh diakses daripada internet menghadapi paparan praktikal yang paling besar. Komputer desktop rumah tanpa penyenggara TCP awam, dilindungi oleh NAT dan tembok api biasa, terkesan jauh lebih sedikit. Rilis LND menghilangkan laluan penyenggara MPTCP yang telah ditunjukkan untuk pengendali Lightning Linux, tetapi kerentanan yang lebih luas masih berterusan sehingga pengendali memasang kernel yang telah diperbaiki.
Nod Bitcoin Lightning disyorkan untuk mematikan MPTCP akibat kerentanan kritikal pada teras Linux
FLASH AIKongsi
Ringkasan
Berita bitcoin: Sebuah kelemahan kritikal pada kernel Linux, CVE-2026-98432, membahayakan nod Bitcoin Lightning daripada akses root jarak jauh. Lightning Labs telah mengeluarkan lnd v0.21.6-beta dan v0.20.7-beta pada 30 Oktober untuk mematikan MPTCP secara lalai. Penyelidik keselamatan Marcus Hutchins mengenal pasti 2.1 juta pelayan yang terdedah menggunakan MPTCP pada port 443. Canonical dan Red Hat telah mengeluarkan kernel yang diperbaiki, tetapi ia belum tersedia dalam kemas kini standard. Pengguna digalakkan untuk mengemas kini LND dan memasang pembaikan untuk menyelesaikan kelemahan ini.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.