Sebuah kelemahan yang diumumkan dalam Core Lightning, perisian yang digunakan pada rangkaian pembayaran Lightning Bitcoin, boleh menyebabkan kegagalan berulang walaupun selepas penghijrahan. Pendedahan oleh penyelidik Nishant Bansal pada 24 Oktober mengenal pasti versi v25.02 hingga v26.04 sebagai versi yang terjejas. Semasa dimulakan semula, pengumuman jahat yang disimpan akan dimuat semula, menyebabkan kegagalan lain. Bansal mengatakan pengendali mesti menghapuskan rekod jahat secara manual untuk memulihkan nod.
Core Lightning menggabungkan pemaik pencegahan melalui PR #9082 pada 24 April. Core Lightning kemudian merilis pembaikan dalam v26.04.1 pada 25 April, berbulan-bulan sebelum pengumuman Oktober. Bitcoin Optech menarik perhatian terhadap kelemahan tersebut pada 30 Oktober.
Pengumuman saluran menggambarkan sambungan dalam graf laluan Lightning. Pengumuman jahat tersebut menetapkan satu nod yang sebelumnya tidak diketahui sebagai kedua-dua hujung sambungan. Versi yang rentan menerima pengumuman tersebut dan menyimpannya dalam gossip_store di cakera sebelum menambahkan pengumuman tersebut ke graf laluan. Graf tersebut cuba menambahkan nod yang sama dua kali. Perlindungan pencegahan duplikat menghentikan gossipd, komponen yang bertanggungjawab memproses pengumuman ini. Core Lightning memperlakukan kegagalan gossipd sebagai fatal dan mematikan keseluruhan nod.
Pembaikan ini mengesahkan urutan endpoint sebelum menerima pengumuman. Semakan ini memerlukan ID nod pertama lebih kecil secara ketat daripada ID nod kedua, serta mengeluarkan pengumuman dengan ID endpoint yang sama. Semakan ini mencegah pengumuman yang rosak daripada diterima dan disimpan. Walau bagaimanapun, pengesahan ini hanya berlaku terhadap pengumuman yang masuk, manakala permulaan masih terus memuatkan rekod gossip_store yang sedia ada. Oleh itu, peningkatan meninggalkan sebarang rekod jahat yang disimpan sebelum kemalangan tetap ada.
Bansal mengatakan pemulihan memerlukan penghapusan rekod jahat dari gossip_store secara manual. Namun, menghapus rekod tanpa meningkatkan versi akan meninggalkan pemasangan yang rentan terdedah kepada kemalangan lain. Pernyataan Bansal menyatakan bahawa penyerang boleh menghantar pengumuman itu sekali lagi selagi output pendanaan yang dikendalikan oleh penyerang masih belum dibelanjakan. Bitcoin Optech mengatakan versi sebelum v25.02 boleh menerima dan meneruskan pengumuman ini tanpa mengalami kemalangan. Oleh itu, penyerang tidak memerlukan sambungan langsung kepada setiap nod yang rentan.
Versi v26.04.1 adalah rilis paling awal yang mengandung pembaikan untuk kelemahan ini. Sehingga 2 November, v26.06.9 adalah rilis terkini, dikeluarkan pada 7 Oktober. Penjaga sangat menyarankan untuk memasang v26.06.9.
Masa henti mencipta risiko pemantauan pembayaran selain menjadikan perkhidmatan tidak tersedia. Bansal memperingatkan bahawa nod luar talian tidak dapat memantau blok rantai untuk keadaan saluran yang dicabut atau tuntutan pembayaran dengan tempoh masa. Nod yang melewatkan peristiwa-peristiwa tersebut boleh menjejaskan dana.
Nod Core Lightning Mungkin Rosak Selepas Peningkatan Hingga Rekod Jahat Dihapus
CryptoSlateKongsi
Ringkasan
Peningkatan blok rantai terkini kepada perisian Core Lightning mungkin menyebabkan kegagalan nod disebabkan isu rekod jahat. Kelemahan ini mempengaruhi versi v25.02 hingga v26.04, di mana pengumuman saluran yang buruk mencipta entri nod berganda. Sebuah pembaikan telah ditambahkan dalam v26.04.1 pada 25 April, tetapi rekod jahat lama masih wujud. Penyelidik mengatakan penyerang boleh memicu semula kelemahan ini jika output pendanaan belum dibelanjakan. Penyelenggara menasihatkan untuk mengemas kini ke v26.06.9 untuk perlindungan. Peningkatan rangkaian disarankan untuk mengelakkan gangguan.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.