Ошибка Bitcoin Core Lightning Docker экспонирует операторов нод, несмотря на отображение версии v26.06.7

Разработчики программного обеспечения Bitcoin Lightning сообщают, что четыре образа доставили незапatched двоичные файлы, сообщая при запуске версию v26.06.7, оставив пострадавших пользователей с еще одной задачей: проверить дайджест образа и загрузить исправленный образ, если он отличается.

Некоторые операторы Core Lightning, которые пытались обновиться до версии v26.06.7 через Docker, могут по-прежнему не иметь всех исправлений безопасности.

Обновленное уведомление о релизе определяет затронутые теги как v26.06.7, latest, v26.06.7-vls и latest-vls. Они предоставляли изображения без исправлений релиза с 28 августа в 16:04 по UTC до 1 сентября. В уведомлении точное время окончания не указано.

Автоматизированный процесс сборки опубликовал изображения из временной метки. Сопровождающие заявляют, что заменили их и удалили все ссылки на неверные манифесты. Однако оператор, сохранивший ошибочное изображение, не может полагаться на его версию запуска для подтверждения применения исправления.

График исправления Core Lightning Docker: четыре тега не были исправлены с 28 августа в 16:04 по UTC до 1 сентября; проверьте дайджесты и повторно извлеките несоответствия перед запланированным раскрытием источника 11 сентября. — Инфографика показывает некорректные образы Core Lightning, распространявшиеся под четырьмя тегами, за которыми следуют исправленные версии и рекомендации по проверке дайджестов образов.

Релиз от 28 августа установил 14-дневный запрет на публикацию исходного кода, указывая на запланированное раскрытие 11 сентября. По состоянию на 8 сентября уведомление по-прежнему описывает эту публикацию как предстоящую. Сопровождающие говорят, что задержка дает операторам время обновиться до того, как потенциальные злоумышленники смогут обратно спроектировать исправления.

См. также

Натиск ошибок, найденных с помощью ИИ, вынуждает Bitcoin Core Lightning ввести секретную 14-дневную чрезвычайную блокировку

Как проверить образ Docker, чтобы исправить ошибку Lightning

Разработчики просят всех, кто ранее загружал один из четырех тегов, сравнить его дайджест — идентифицирующий хэш изображения — с исправленными значениями:

Docker теги	Исправленный дайджест
v26.06.7, последняя	`sha256:0421a5f0d1b2e1ad639edfa17d777816040e3850d91bae7f2d32186d9c1e6da4`
v26.06.7-vls, latest-vls	`sha256:6a5e05c13a65613f8c0fe3830c60248a6724e7206c1c23dd26ac2e98a3e72c1f`

Для стандартного версионированного образа уведомление предоставляет эту команду для проверки локального образа. Его вывод сам по себе не определяет, какой образ использует существующий контейнер:

docker image inspect --format '{{index .RepoDigests 0}}' elementsproject/lightningd:v26.06.7

Если дайджест отличается, соответствующая команда загрузки:

docker pull elementsproject/lightningd:v26.06.7

Уведомление также предоставляет docker pull elementsproject/lightningd:latest для этого тега. Пользователям VLS необходим отдельный VLS-дайджест в таблице. Их настройка VLS_CLN_VERSION также должна соответствовать v26.06.7, иначе remote_hsmd_socket не запустится; сам signer остается версии VLS v0.14.0.

Пользователи, зафиксированные на версии v26.06.6 или более ранней, избежали этой ошибки упаковки. Исключение касается неисправной упаковки; новые исправления безопасности относятся к версии v26.06.7.

Исправление упаковки изменяет непосредственную проблему оператора, связанную с попыткой обновления, которую может потребоваться снова проверить, пока это окно остается открытым.

Во время эмбарго существует еще одна ловушка при скачивании. Автоматически прикрепленные GitHub архивы исходного кода не являются исходным кодом v26.06.7, предупреждают сопровождающие, поэтому сборка этих архивов не даст заявленных исправленных бинарных файлов.

Пост Ошибка Bitcoin Core Lightning Docker оставляет операторов нод под угрозой, несмотря на отображение обновленной версии появился первым на CryptoSlate.