LND, 30 Ekim'de v0.20.7-beta ve v0.21.6-beta sürümlerini MPTCP dinleyicilerinin varsayılan olarak devre dışı bırakıldığı şekilde yayınladı. Bu değişiklik, bu dinleyiciler aracılığıyla gösterilen CVE-2026-98432 saldırı yolunu engelliyor ancak Linux çekirdeği zafiyetini düzeltmiyor veya diğer hizmetleri korumuyor. Dolayısıyla, etkilenen ve düzeltilmemiş çekirdekleri kullanan Lightning operatörleri, operatörlerin ödeme node'larını çalıştıran LND yazılımını güncelledikten sonra hâlâ maruz kalıyorlar. Aynı makinede başka bir MPTCP hizmeti, gösterilen saldırı yolunu açık tutmaya devam edebilir.
Zafiyet, Linux IPv4 TCP bağlantılarında use-after-free bellek yönetimi ile ilgilidir ve bir saldırganın etkilenen bir ana makinede kod çalıştırmasına izin verebilir. Ubuntu, bu hata için CVSS 3.1 puanı 9.8 olan kritik bir derecelendirme vermiştir. LND operatör notları, 1.24'ten itibaren Go sürümlerinin Linux MPTCP dinleyicilerini varsayılan olarak etkinleştirdiğini açıklıyor. Notlara göre, LND 0.21.x, bu nedenle node bağlantıları ve uygulama arayüzleri için kullanılan peer, gRPC ve REST portlarında MPTCP'yi açığa çıkarmıştır.
Go Güvenlik Takımı'nın uyarısına göre, gösterilen istismar, açığa çıkarılmış bir MPTCP dinleyicisi gerektirirken, temel çekirdek hatasının kapsamı daha geniştir. Uyarı, MPTCP dinleyicileri olmayan sistemlerde benzer saldırıların mümkün olabileceğini belirtir, ancak bu dinleyicilere sahip olmayan sistemler karşıtı gösterilmiş bir istismar sağlamaz. Go, her programda MPTCP'yi ayrı ayrı devre dışı bırakmanın kırılgan olduğunu uyarır, çünkü kalan tek bir açığa çıkarılmış dinleyici, gösterilen yolu korur. Go ayrıca açıkça belirtilen soket ayarlarının varsayılanları geçersiz kılabileceğini de uyarır. Uyarılar, LND node'larına veya bitcoin çalıntılarına yönelik saldırıların kanıtı değil, Linux'a yönelik gösterilmiş bir istismarı belgeler. 6 Kasım'da rapor edilen Core Lightning düzeltmeleri, ayrı kanal ve uzaktan komut zafiyetlerini giderir.
7 Kasım'da yapılan bir güncellemeden sonra 9 Kasım'da incelenen Ubuntu izleyicisi, Ubuntu 24.04 LTS için standart Linux paketini hâlâ güvensiz olarak işaretlemiştir. İzleyici, bu paket için 6.8.0-149.149 sürümünde devam eden çalışmaları listelemiştir. Ubuntu 22.04 LTS girdisi de aynı şekilde güvensiz olarak kalmıştır ve 5.15.0-203.213 sürümünde devam eden çalışmalar bulunmaktadır. Canonical, 2 Kasım'da yayınladığı bildiride, kalite testi devam ederken çekirdek kabul testleri yapan kullanıcılar için çözümlerin -proposed deposu aracılığıyla mevcut olduğunu belirtmiştir.
Ubuntu'nun 1-7 Kasım tarihli ilerleme habercisi, 24.04 dahil bazı sürümlerin -updates aşamasına geçtiğini belirtti. Ancak haberci, her bir çekirdek varyantını ayrıntılı olarak belirtmedi. Bu nedenle operatörler, Ubuntu sürüm adına değil, tam çekirdek paketi için mevcut güncellemeyi doğrulamalıdır. İzleyici, standart Ubuntu 26.10 linux paketini 7.3.0-10.10 sürümünde düzeltilmiş olarak işaretlemiştir. Bulut, donanım desteklemesi ve diğer çekirdek varyantları için ayrı ayrı izleyici girdileri bulunmaktadır; bu nedenle bir paketin düzeltilmiş durumu, başka bir paketin durumunu belirlemez.
LND bakım ekibi, LND'yi güncellemeyi, ana sistem düzeyinde MPTCP'yi devre dışı bırakmayı ve dağıtım bir onarılmış çekirdek sağladığında hemen kurmayı öneriyor. Bakım ekibi, sudo sysctl -w net.mptcp.enabled=0 komutunu belirtiyor ve ayarın kalıcı hale getirilmesini öneriyor. Bu ayar, her ağ adayında ayrı olarak çalışır, bu nedenle Docker operatörleri konteyner ağ yapılandırmasını da incelemelidir. Sadece ana sistem düzeyinde bir değişiklik bu kontrolü yerine geçmez. LND'yi hemen güncelleyemeyen operatörler, mevcut ikili dosyayı GODEBUG=multipathtcp=0 ile başlatarak Go'nun varsayılan MPTCP dinleyicilerini devre dışı bırakabilir. Bakım ekibi, çekirdeği onarmadan önce bu varsayılanı geri yüklememeleri konusunda operatörleri uyardı.
Canonical, şu anda çalışan çekirdeği belirlemek için uname -r komutunu kullanmanızı önerir. Canonical, çekirdek güvenlik güncellemesi kurulumundan sonra yeniden başlatma gerektirir. LND'yi güncellemek ve bir çekirdek paketi yüklemek ayrı adımlardır ve işletim sistemi onarımı, düzeltme yapılmış çekirdek çalışır duruma geldiğinde tamamlanır.
Bitcoin Lightning Güvenlik Güncellemesi CVE-2026-98432'yi Engelliyor, Linux Çekirdeği Hatası Devam Ediyor
CryptoSlatePaylaş
Özet
Bitcoin haberi: LND, 30 Ekim'de CVE-2026-98432 saldırısını engellemek için varsayılan olarak MPTCP dinleyicilerini devre dışı bırakarak v0.20.7-beta ve v0.21.6-beta sürümlerini yayınladı. Linux çekirdeği hatası hâlâ düzeltilmedi ve MPTCP hizmetleri olan sistemleri tehdit altına alıyor. Ubuntu tarafından CVSS 3.1 puanı 9.8 olarak kritik olarak değerlendirilen bu hata, IPv4 TCP'de use-after-free bellek yönetimiyle ilgili. LND ekibi, LND'yi güncellemeyi, ana bilgisayar düzeyinde MPTCP'yi devre dışı bırakmayı ve düzeltilmiş çekirdek mevcut olduğunda kurmayı öneriyor.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.