Kemas kini keselamatan Bitcoin Lightning menghalang CVE-2026-98432, kelemahan Linux Kernel masih ada

LND merilis v0.20.7-beta dan v0.21.6-beta pada 30 Oktober dengan pengecualian MPTCP dimatikan secara lalai. Perubahan ini menghalangi laluan serangan CVE-2026-98432 yang telah ditunjukkan melalui pengecualian tersebut, tetapi tidak membaiki kerentanan kernel Linux atau melindungi perkhidmatan lain. Pengendali Lightning yang menggunakan kernel yang terjejas dan tidak diperbaharui dengan itu tetap terdedah selepas memperbaharui LND, perisian yang menjalankan nod pembayaran pengendali. Perkhidmatan MPTCP lain yang terdedah pada mesin yang sama boleh mengekalkan laluan serangan yang telah ditunjukkan.

Kerentanan ini melibatkan pengurusan memori use-after-free pada sambungan Linux IPv4 TCP dan boleh membenarkan penyerang menjalankan kod pada hos yang terjejas. Ubuntu menilai kelemahan ini sebagai kritikal, dengan skor CVSS 3.1 sebanyak 9.8. Catatan pengendali LND menjelaskan bahawa versi Go bermula daripada 1.24 mengaktifkan pendengar Linux MPTCP secara lalai. Catatan tersebut menyatakan bahawa LND 0.21.x seterusnya mendedahkan MPTCP pada port rakan, gRPC, dan REST yang digunakan untuk sambungan nod dan antaramuka aplikasi.

Pemberitahuan Pasukan Keselamatan Go menyatakan bahawa eksploit yang ditunjukkan memerlukan pendengar MPTCP yang terbuka, manakala kecacatan teras yang mendasarinya mempunyai lingkungan yang lebih luas. Pemberitahuan tersebut menyatakan bahawa serangan serupa mungkin berlaku tanpa pendengar MPTCP, tetapi tidak membuktikan eksploit terhadap sistem tanpa pendengar tersebut. Go memperingatkan bahawa menonaktifkan MPTCP secara berasingan dalam setiap program adalah rapuh kerana satu pendengar yang masih terbuka akan mengekalkan laluan yang ditunjukkan. Go juga memperingatkan bahawa tetapan soket eksplisit boleh menggantikan tetapan lalai. Pemberitahuan tersebut mendokumentasikan eksploit Linux yang ditunjukkan, bukan bukti serangan terhadap nod LND atau pencurian bitcoin. Pembaikan Core Lightning yang dilaporkan pada 6 November mengatasi kerentanan saluran dan perintah jauh yang berasingan.

Tracker Ubuntu, yang ditinjau pada 9 November selepas kemas kini pada 7 November, masih menandakan pakej linux piawai untuk Ubuntu 24.04 LTS sebagai rentan. Tracker tersebut mencatatkan kerja yang sedang berjalan untuk pakej tersebut dalam versi 6.8.0-149.149. Entri Ubuntu 22.04 LTS juga masih rentan, dengan kerja yang sedang berjalan dalam 5.15.0-203.213. Nasihat Canonical pada 2 November menyatakan bahawa pembaikan tersedia melalui repositori -proposed untuk pengguna yang menjalankan ujian penerimaan kernel sementara ujian kelayakan berterusan.

Surat berita kemajuan Ubuntu dari 1-7 November menyatakan bahawa beberapa rilis, termasuk 24.04, telah maju ke -updates. Namun, surat berita tersebut tidak menyebutkan setiap varian kernel. Oleh itu, operator mesti mengesahkan kemas kini yang tersedia untuk pakej kernel yang tepat, bukan hanya bergantung pada nama rilis Ubuntu. Pemantau menandakan pakej linux Ubuntu standard 26.10 sebagai telah diperbaiki dalam 7.3.0-10.10. Varian kernel awan, hardware-enablement, dan lain-lain mempunyai entri pemantauan masing-masing, jadi status diperbaiki pada satu pakej tidak menentukan status pakej lain.

Pemelihara LND menyarankan untuk mengemas kini LND, mematikan MPTCP pada peringkat hos, dan memasang kernel yang telah diperbaiki secepat mungkin apabila distribusi menyediakannya. Pemelihara menentukan arahan sudo sysctl -w net.mptcp.enabled=0 dan menyarankan konfigurasi kekal untuk mengekalkan tetapan tersebut. Tetapan ini beroperasi secara berasingan dalam setiap ruang nama rangkaian, jadi pengendali Docker juga perlu memeriksa konfigurasi rangkaian kontena. Perubahan pada peringkat hos sahaja tidak menggantikan pemeriksaan itu. Pengendali yang tidak dapat mengemas kini LND segera boleh melancarkan binari sedia ada dengan GODEBUG=multipathtcp=0 untuk mematikan penyamaran MPTCP laluan Go. Pemelihara memperingatkan pengendali supaya tidak memulihkan tetapan itu sebelum memperbaiki kernel.

Canonical merekomendasikan penggunaan uname -r untuk mengenal pasti kernel yang sedang berjalan. Canonical memerlukan penyegaran semula selepas pemasangan kemas kini keselamatan kernel. Memperbaharui LND dan memasang pakej kernel adalah langkah yang berasingan, dan pembaikan sistem operasi dianggap lengkap apabila kernel yang telah diperbaiki sedang berjalan.