A Lightning Labs lançou versões de emergência lnd v0.21.6-beta e a versão retroativa v0.20.7-beta em 30 de outubro. Ambas as versões desativam por padrão os ouvintes Multipath TCP (MPTCP), bloqueando a rota demonstrada para obtenção remota de acesso root por meio do LND. A vulnerabilidade subjacente, CVE-2026-98432, afeta o processamento da sincronização TCP IPv4 no kernel Linux e possui uma pontuação CVSS de 9,8.
O desenvolvedor do Bitcoin Core e do Lightning, Matt Corallo, chamou a atenção para a vulnerabilidade em 30 de outubro. Corallo criticou a resposta lenta do Ubuntu e descreveu o bug como "a vulnerabilidade mais crítica do Linux já vista". A Frontier Red Team da Anthropic demonstrou posteriormente um exploit remoto de root contra sistemas com um ouvinte MPTCP exposto.
Peter Todd alertou em 30 de outubro que operadores executando LND no Linux com portas abertas devem desligar os nós Bitcoin Lightning até que um patch do kernel ou uma mitigação seja aplicada. O ataque demonstrado requer um ouvinte MPTCP, que as versões do Go 1.24 e posteriores ativam por padrão. Versões recentes do LND, escritas em Go, portanto, usavam ouvintes MPTCP para portas de pares, gRPC e REST quando o kernel suportava o recurso.
A Lightning Labs caracterizou as versões como mitigação, e não como uma correção completa. A Lightning Labs afirmou que é necessário um kernel corrigido para resolver totalmente a vulnerabilidade subjacente. Outros serviços em execução na máquina permanecem expostos até que o MPTCP seja desativado em todo o host ou o kernel receba uma atualização. Olaoluwa Osuntokun e a Lightning Labs recomendaram instalar a atualização do LND.
O pesquisador de segurança Marcus Hutchins posteriormente relatou varreduras pela internet consistentes com atacantes procurando por sistemas vulneráveis. Hutchins encontrou aproximadamente 2,1 milhões de servidores acessíveis por meio do MPTCP na porta 443. O International Cyber Digest divulgou a descoberta em 4 de novembro, destacando a atividade de varredura e o cronograma mais lento de correções do Ubuntu.
A Canonical forneceu kernels corrigidos para Ubuntu 22.04, 24.04 e 26.04 por meio do pocket proposto com adesão opcional. No entanto, os kernels corrigidos ainda não chegaram ao canal regular de atualizações do Ubuntu. A Red Hat lançou patches para RHEL 8/9/10 em 1º de novembro. Debian, Amazon Linux e outras distribuições já haviam emitido patches anteriormente.
O UmbrelOS 2.0.1 entregou o patch do kernel para dispositivos x86 em 1º de novembro. O UmbrelOS aplicou uma mitigação de bloqueio de tráfego aos dispositivos Raspberry Pi, pois um kernel corrigido ainda não estava disponível. Nenhuma exploração no ambiente real foi confirmada. A CISA não listou a vulnerabilidade no catálogo de Vulnerabilidades Conhecidas e Exploradas. A Anthropic não publicou a demonstração de root remoto.
Servidores acessíveis pela internet enfrentam a maior exposição prática. Desktops residenciais sem ouvintes TCP públicos, protegidos por NAT e firewalls típicos, são afetados muito menos. As versões do LND eliminam a rota do ouvinte MPTCP demonstrada para operadores Linux Lightning, mas a vulnerabilidade mais ampla persiste até que os operadores instalem um kernel corrigido.
Nós Bitcoin Lightning são incentivadas a desativar o MPTCP devido a uma vulnerabilidade crítica no kernel Linux
FLASH AICompartilhar
Resumo
Notícias sobre bitcoin: Uma vulnerabilidade crítica no kernel Linux, CVE-2026-98432, expõe nodes do Bitcoin Lightning ao risco de acesso remoto como root. A Lightning Labs lançou o lnd v0.21.6-beta e v0.20.7-beta em 30 de outubro para desativar o MPTCP por padrão. O pesquisador de segurança Marcus Hutchins identificou 2,1 milhões de servidores expostos usando MPTCP na porta 443. A Canonical e a Red Hat lançaram kernels corrigidos, mas eles ainda não estão disponíveis nas atualizações padrão. Os usuários são incentivados a atualizar o LND e aplicar os patches para resolver a vulnerabilidade.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.