Uma falha divulgada no Core Lightning, software utilizado na rede de pagamentos Lightning do bitcoin, pode causar travamentos repetidos mesmo após uma atualização. A divulgação do pesquisador Nishant Bansal em 24 de outubro identifica as versões v25.02 a v26.04 como afetadas. Um reinício carrega novamente o anúncio malicioso armazenado, desencadeando outro travamento. Bansal afirma que os operadores devem excluir manualmente o registro malicioso para recuperar o node.
Core Lightning incorporou o patch preventivo por meio da PR #9082 em 24 de abril. O Core Lightning lançou a correção na v26.04.1 em 25 de abril, meses antes da divulgação em outubro. O Bitcoin Optech chamou a atenção para a falha em 30 de outubro.
Anúncios de canal descrevem conexões dentro do grafo de roteamento Lightning. O anúncio malicioso designou um nó previamente desconhecido como ambos os extremos de uma conexão. As versões vulneráveis aceitaram o anúncio e o armazenaram no gossip_store em disco antes de adicionar o anúncio ao grafo de roteamento. O grafo tentou adicionar o mesmo nó duas vezes. Um mecanismo de prevenção de duplicatas encerrou o gossipd, o componente responsável por processar esses anúncios. O Core Lightning tratou a falha do gossipd como fatal e desligou todo o node.
O patch valida a ordem dos endpoints antes de aceitar um anúncio. A verificação exige que o ID do primeiro nó seja estritamente menor que o segundo, excluindo anúncios com IDs de endpoint idênticos. A verificação impede que anúncios malformados sejam aceitos e salvos. No entanto, a validação se aplica apenas aos anúncios recebidos, enquanto a inicialização continua carregando registros existentes do gossip_store. Portanto, uma atualização mantém qualquer registro malicioso armazenado antes da falha.
Bansal afirma que a recuperação exige remover o registro malicioso do gossip_store manualmente. No entanto, excluir o registro sem atualizar deixa uma instalação vulnerável exposta a outra falha. A divulgação de Bansal afirma que um atacante pode enviar novamente o anúncio enquanto a saída de financiamento controlada pelo atacante permanecer não gasta. O Bitcoin Optech afirma que versões anteriores à v25.02 poderiam receber e encaminhar esses anúncios sem falhar. Portanto, um atacante não exigia uma conexão direta com cada node vulnerável.
A versão v26.04.1 é a versão mais antiga que contém uma correção para essa falha. Em 2 de novembro, a versão v26.06.9 é a mais recente, lançada em 7 de outubro. Os mantenedores recomendam fortemente instalar a v26.06.9.
O tempo de inatividade cria riscos de monitoramento de pagamentos além de tornar o serviço indisponível. Bansal alerta que um node offline não pode monitorar a blockchain em busca de estados de canal revogados ou reivindicações de pagamento com prazos. Um node que perder esses eventos pode colocar fundos em risco.
Nós Core Lightning podem travar após a atualização até que o registro malicioso seja removido
CryptoSlateCompartilhar
Resumo
Uma atualização recente da blockchain no software Core Lightning pode causar falhas nos nodes devido a um problema com registro malicioso. A falha afeta as versões v25.02 a v26.04, onde um anúncio de canal inválido cria entradas duplicadas de nodes. Uma correção foi adicionada na v26.04.1 em 25 de abril, mas os registros maliciosos antigos permanecem. Pesquisadores afirmam que um atacante pode reativar a falha se a saída de financiamento estiver não gasta. Os mantenedores recomendam atualizar para a v26.06.9 para se proteger. Uma atualização da rede é recomendada para evitar interrupções.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.