Bitcoin'in Lightning ödeme ağında kullanılan Core Lightning yazılımında ortaya çıkan bir açık, güncelleştirmeden sonra bile tekrarlayan çökmelere neden olabilir. Araştırmacı Nishant Bansal, 24 Ekim'de yapılan açıklamada, etkilenen sürümlerin v25.02 ile v26.04 arasında olduğunu belirtti. Yeniden başlatma, depolanan zararlı duyuruyu tekrar yükler ve başka bir çökme tetikler. Bansal, düğümü kurtarmak için operatörlerin zararlı kaydı manuel olarak silmesi gerektiğini söylüyor.
Core Lightning, 24 Nisan'da PR #9082 aracılığıyla önleyici düzeltmeyi entegre etti. Daha sonra Core Lightning, 25 Nisan'da v26.04.1 sürümünde düzeltmeyi yayınladı, bu da Ekim duyurusundan aylar öncesiydi. Bitcoin Optech, 30 Ekim'de bu hata üzerinde dikkat çekti.
Kanal duyuruları, Lightning rota grafiği içindeki bağlantıları tanımlar. Zararlı duyuru, daha önce bilinmeyen bir node'u bir bağlantının her iki uç noktası olarak belirledi. Güvenlik açığı bulunan sürümler, bu duyuruyu rota grafiğine eklemeden önce, duyuruyu diskteki gossip_store dosyasına kaydetti. Grafik, aynı node'u iki kez eklemeye çalıştı. Bir kopya önleme koruması, bu duyuruları işlemden sorumlu olan gossipd bileşenini durdurdu. Core Lightning, gossipd hatasını ölümcül olarak değerlendirdi ve tüm node'u kapattı.
Düzeltme, bir duyuru kabul edilmeden önce uç nokta sıralamasını doğrular. Denetim, ilk düğüm kimliğinin ikinciden kesinlikle küçük olmasını gerektirir ve aynı uç nokta kimliklerine sahip duyuruları hariç tutar. Bu denetim, bozuk duyuruların kabul edilmesini ve kaydedilmesini önler. Ancak doğrulama, gelen duyurulara uygulanır; başlatma işlemi ise mevcut gossip_store kayıtlarını yüklemeye devam eder. Bu nedenle bir yükseltme, çökmeden önce depolanan herhangi bir zararlı kaydı olduğu gibi bırakır.
Bansal, kurtarmanın, zararlı kaydın gossip_store'dan manuel olarak kaldırılmasını gerektirdiğini söylüyor. Ancak yükseltme yapmadan kaydı silmek, başka bir çökme için savunmasız bir kurulum bırakır. Bansal'ın açıklamasına göre, saldırganın kontrolündeki finanse edici çıktı harcanmadıkça, saldırgan duyuruyu tekrar gönderebilir. Bitcoin Optech, v25.02'den önceki sürümlerin bu duyuruları çökmeden alıp iletebileceğini söylüyor. Bu nedenle bir saldırgan, her savunmasız node'a doğrudan bağlantı kurmak zorunda kalmadı.
v26.04.1, bu hata için düzeltilen ilk sürümüdür. 2 Kasım itibarıyla, 7 Ekim'de yayınlanan v26.06.9 en son sürümüdür. Bakım ekibi, v26.06.9'u kurmanızı şiddetle önerir.
Downtime, hizmetin kullanılamaz hale gelmesinin yanı sıra ödeme izleme riskleri yaratır. Bansal, çevrimdışı bir node'un iptal edilmiş kanal durumları veya süresi dolmuş ödeme talepleri için blok zincirini izleyemeyeceğini uyarıyor. Bu olayları kaçıran bir node, fonları riske atabilir.
Core Lightning Node'ları, zararlı kayıt kaldırılana kadar yükseltmeden sonra çökebilir
CryptoSlatePaylaş
Özet
Son bir blok zinciri yükseltmesi, Core Lightning yazılımında kötü amaçlı bir kayıt sorunu nedeniyle node çökmelerine neden olabilir. Bu hata, v25.02 ile v26.04 sürümlerini etkiler; burada kötü bir kanal duyurusu, yinelenen node girişleri oluşturur. Düzeltme, 25 Nisan'da v26.04.1 sürümünde eklendi, ancak eski kötü amaçlı kayıtlar hâlâ mevcut. Araştırmacılar, finansman çıktısı harcanmamışsa, bir saldırganın bu hatayı yeniden tetikleyebileceğini söylüyor. Bakıcılar, korunmak için v26.06.9 sürümüne yükseltmenizi öneriyor. Kesintileri önlemek için bir ağ yükseltmesi önerilir.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.