Раскрытый дефект в Core Lightning — программном обеспечении, используемом в платежной сети Lightning bitcoin, — может вызывать повторные сбои даже после обновления. В раскрытии исследователя Нишанта Бансала от 24 октября указаны затронутые версии v25.02 через v26.04. Перезагрузка снова загружает сохраненное вредоносное объявление, вызывая новый сбой. Бансал утверждает, что операторы должны вручную удалить вредоносную запись, чтобы восстановить ноду.
Core Lightning внедрил профилактический патч через PR #9082 24 апреля. Затем Core Lightning выпустил исправление в версии v26.04.1 25 апреля, за месяцы до раскрытия в октябре. Bitcoin Optech обратил внимание на уязвимость 30 октября.
Анонсы каналов описывают соединения в графе маршрутизации Lightning. Злонамеренный анонс обозначил ранее неизвестную ноду в качестве обоих концов соединения. Уязвимые версии принимали анонс и сохраняли его в файле gossip_store на диске, прежде чем добавить анонс в граф маршрутизации. Граф попытался добавить одну и ту же ноду дважды. Защита от дублирования завершила работу gossipd — компонента, отвечающего за обработку этих анонсов. Core Lightning воспринял сбой gossipd как критический и остановил всю ноду.
Патч проверяет порядок endpoint-ов перед принятием объявления. Проверка требует, чтобы первый ID ноды был строго меньше второго, исключая объявления с одинаковыми ID endpoint-ов. Эта проверка предотвращает принятие и сохранение некорректных объявлений. Однако валидация применяется только к входящим объявлениям, а при запуске продолжается загрузка существующих записей gossip_store. Следовательно, после обновления любые вредоносные записи, сохранённые до сбоя, остаются на месте.
Бансал говорит, что восстановление требует ручного удаления вредоносной записи из gossip_store. Однако удаление записи без обновления оставляет уязвимую установку подверженной еще одному сбою. В заявлении Бансала говорится, что атакующий может отправить объявление снова, пока выход финансирования, контролируемый атакующим, остается неизрасходованным. Bitcoin Optech отмечает, что версии ранее v25.02 могли получать и пересылать эти объявления без сбоя. Следовательно, атакующему не требовалось прямое соединение с каждой уязвимой нодой.
Версия v26.04.1 — это первая версия, содержащая исправление этой уязвимости. На 2 ноября последней версией является v26.06.9, выпущенная 7 октября. Разработчики настоятельно рекомендуют установить v26.06.9.
Простой создает риски мониторинга платежей, кроме того, что делает сервис недоступным. Бансал предупреждает, что оффлайн-нода не может отслеживать блокчейн на предмет отозванных состояний каналов или платежных требований с дедлайнами. Нода, пропустившая эти события, может подвергнуть риску средства.
Ноды Core Lightning могут аварийно завершить работу после обновления, пока вредоносная запись не будет удалена
CryptoSlateПоделиться
Сводка
Недавнее обновление блокчейна программного обеспечения Core Lightning может вызывать сбои нод из-за проблемы с вредоносной записью. Уязвимость затрагивает версии v25.02–v26.04, где плохое объявление канала создает дублирующиеся записи нод. Исправление было добавлено в v26.04.1 25 апреля, но старые вредоносные записи остаются. Исследователи отмечают, что злоумышленник может повторно активировать уязвимость, если выход финансирования не потрачен. Разработчики рекомендуют обновиться до v26.06.9 для защиты. Рекомендуется обновление сети, чтобы избежать сбоев.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.