Lightning Labs, 30 Ekim'de lnd v0.21.6-beta ve geri port edilmiş v0.20.7-beta acil sürümlerini yayınladı. Her iki sürüm de varsayılan olarak Multipath TCP (MPTCP) dinleyicilerini kapatır ve LND aracılığıyla uzaktan kök erişimi elde etmek için gösterilen yolu engeller. Temel zafiyet, CVE-2026-98432, Linux çekirdeğindeki IPv4 TCP el sıkışma işlemini etkiler ve CVSS puanı 9.8'dir.
Bitcoin Core ve Lightning geliştiricisi Matt Corallo, 30 Ekim'de bu zafiyete dikkat çekti. Corallo, Ubuntu'nun yavaş tepkisini eleştirdi ve hatayı "şu ana kadar karşılaşılan en kritik Linux zafiyeti" olarak tanımladı. Anthropic'ın Frontier Red Takımı daha sonra, MPTCP dinleyicisi açığa çıkarılmış sistemlere karşı uzaktan kök zafiyeti gerçekleştirdi.
Peter Todd, 30 Ekim'de, Linux üzerinde açık portlarla LND çalıştıran operatörlerin, bir çekirdek düzeltmesi veya önleme uygulanana kadar Bitcoin Lightning düğümlerini kapatmaları gerektiğini uyarıdı. Gösterilen saldırı, Go sürüm 1.24 ve sonrasında varsayılan olarak etkinleştirilen bir MPTCP dinleyicisi gerektirir. Bu nedenle, son LND sürümleri, çekirdek bu özelliği desteklediğinde, eş, gRPC ve REST portları için MPTCP dinleyicilerini kullanmıştır.
Lightning Labs, sürümleri tam bir düzeltme yerine bir azaltma olarak tanımladı. Lightning Labs, temel zafiyetin tamamen giderilmesi için bir düzeltme yapılmış çekirdeğin gerekli olduğunu söyledi. Makinede çalışan diğer hizmetler, ana makinede MPTCP devre dışı bırakılana kadar veya çekirdek bir güncelleme alana kadar maruz kalır. Olaoluwa Osuntokun ve Lightning Labs, LND güncellemesini yüklemeyi önerdi.
Güvenlik araştırmacısı Marcus Hutchins, saldırganların zayıf sistemleri aramakla uyumlu şekilde internet çapında tarama yaptığına dair daha sonra rapor sundu. Hutchins, 443 numaralı port üzerinden MPTCP ile erişilebilir yaklaşık 2,1 milyon sunucu tespit etti. Uluslararası Siber Dergi, bulguyu 4 Kasım'da duyurarak tarama faaliyetini ve Ubuntu'nun daha yavaş güvenlik düzeltme takvimini vurguladı.
Canonical, Ubuntu 22.04, 24.04 ve 26.04 için opt-in önerilen havuz aracılığıyla sabit çekirdekler sağladı. Ancak, sabit çekirdekler Ubuntu'nun düzenli güncellemeler kanalına ulaşmadı. Red Hat, 1 Kasım'da RHEL 8/9/10 için düzeltmeler yayınladı. Debian, Amazon Linux ve diğer dağıtımlar daha önce düzeltmeler yayınlamıştı.
UmbrelOS 2.0.1, 1 Kasım'da x86 cihazlar için çekirdek düzeltmesini sundu. UmbrelOS, düzeltilmiş bir çekirdek henüz mevcut olmadığından Raspberry Pi cihazlarına trafik engelleme önlemini uyguladı. Dış dünyada herhangi bir istismar doğrulanmamıştır. CISA, bu zafiyeti Bilinen İstismar Edilen Zafiyetler kataloğunda listelememiştir. Anthropic, uzaktan kök gösterisini yayınlamamıştır.
İnternete erişilebilir sunucular en büyük pratik maruziyete sahiptir. Tipik NAT ve güvenlik duvarları tarafından korunan, kamu TCP dinleyicisi olmayan ev masaüstüleri çok daha az etkilenir. LND sürümleri, Linux Lightning operatörleri için kanıtlanan MPTCP dinleyici yolunu ortadan kaldırır, ancak operatörler düzeltilmiş bir çekirdek yükleyene kadar daha geniş çaplı zafiyet devam eder.
Bitcoin Lightning Node'ları, Kritik Linux Çekirdeği Zafiyeti Nedeniyle MPTCP'yi Devre Dışı Bırakmaya Çağrılıyor
FLASH AIPaylaş
Özet
Bitcoin haberi: Kritik bir Linux çekirdeği zafiyeti, CVE-2026-98432, Bitcoin Lightning düğümlerini uzaktan kök erişimi riskine maruz bırakıyor. Lightning Labs, 30 Ekim'de lnd v0.21.6-beta ve v0.20.7-beta sürümlerini yayınladı ve MPTCP'yi varsayılan olarak devre dışı bıraktı. Güvenlik araştırmacısı Marcus Hutchins, 443 portunda MPTCP kullanan 2,1 milyon açığa çıkmış sunucu tespit etti. Canonical ve Red Hat, düzeltmeli çekirdekleri yayınladı, ancak bunlar henüz standart güncellemelerde değil. Kullanıcılar, bu zafiyeti gidermek için LND'yi güncellemeleri ve düzeltmeleri uygulamaları çağrılıyor.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.