LND випустила v0.20.7-beta та v0.21.6-beta 30 жовтня з вимкненими за замовчуванням слухачами MPTCP. Ця зміна блокує продемонстрований вектор атаки CVE-2026-98432 через ці слухачі, але не виправляє вразливість ядра Linux ні не захищає інші служби. Тому оператори Lightning, які використовують вразливі, незапatchenі ядра, залишаються вразливими після оновлення LND — програмного забезпечення, що працює на нодах операторів платежів. Інша вразлива служба MPTCP на тому самому пристрої може зберігати продемонстрований вектор атаки відкритим.
Уразливість пов’язана з використанням після звільнення обробки пам’яті у Linux IPv4 TCP-з’єднаннях і може дозволити зловмиснику виконувати код на вразливому хості. Ubuntu оцінює цю вразливість як критичну з балом CVSS 3.1 9,8. Примітки оператора LND зазначають, що версії Go, починаючи з 1.24, за замовчуванням увімкнули Linux MPTCP-слухачі. У примітках зазначається, що LND 0.21.x відповідно відкрив MPTCP на портах пірів, gRPC та REST, які використовуються для підключення нод та інтерфейсів застосунку.
Рекомендація команди безпеки Go стверджує, що продемонстрований експлойт вимагає відкритого слухача MPTCP, тоді як основна вразливість ядра має більш широкий діапазон. У рекомендації зазначено, що подібні атаки можуть бути можливими й без слухачів MPTCP, але не підтверджено жодного продемонстрованого експлойту проти систем без цих слухачів. Go попереджає, що вимкнення MPTCP окремо в кожній програмі є ненадійним, оскільки один залишений відкритий слухач зберігає продемонстрований шлях. Go також попереджає, що явні налаштування сокетів можуть перевизначати значення за замовчуванням. У рекомендаціях документується продемонстрований експлойт для Linux, а не докази атак на ноди LND чи крадіжку bitcoin. Виправлення Core Lightning, про які повідомлялося 6 листопада, стосуються окремих вразливостей каналів і віддалених команд.
Трекер Ubuntu, перевірений 9 листопада після оновлення 7 листопада, все ще позначав стандартний пакет Linux для Ubuntu 24.04 LTS як вразливий. У трекері було вказано, що робота над цим пакетом у версії 6.8.0-149.149 перебуває в процесі. Запис для Ubuntu 22.04 LTS також залишився вразливим, з роботою в процесі у версії 5.15.0-203.213. Оголошення Canonical від 2 листопада зазначало, що виправлення доступні через репозиторій -proposed для користувачів, які проводять тести прийняття ядра, поки триває кваліфікаційне тестування.
Щотижневий звіт про роботу Ubuntu за період з 1 по 7 листопада зазначив, що деякі випуски, зокрема 24.04, перейшли до -updates. Однак у звіті не було вказано всі варіанти ядра. Тому оператори повинні перевіряти наявність оновлення саме для конкретного пакета ядра, а не покладатися лише на назву випуску Ubuntu. Трекер позначає стандартний пакет linux для Ubuntu 26.10 як виправлений у версії 7.3.0-10.10. Для хмарних, апаратно-підтримуваних та інших варіантів ядра є окремі записи у трекері, тому статус виправлення одного пакета не визначає статус іншого.
Розробники LND рекомендують оновити LND, вимкнути MPTCP на рівні хоста та встановити виправлене ядро, як тільки воно з’явиться у розподілі. Розробники зазначають команду sudo sysctl -w net.mptcp.enabled=0 і рекомендують зберегти налаштування у постійному вигляді. Налаштування працює окремо в кожному мережевому просторі імен, тому оператори Docker повинні також перевірити конфігурацію мережі контейнера. Зміна на рівні хоста сама по собі не замінює цю перевірку. Оператори, які не можуть одразу оновити LND, можуть запустити існуючий двійковий файл з GODEBUG=multipathtcp=0, щоб вимкнути за замовчуванням MPTCP-слухачі Go. Розробники попереджають операторів не відновлювати це за замовчуванням до виправлення ядра.
Canonical рекомендує використовувати uname -r для визначення ядра, яке зараз працює. Canonical вимагає перезавантаження після встановлення оновлення безпеки ядра. Оновлення LND і встановлення пакета ядра — це окремі кроки, і відновлення операційної системи завершується лише тоді, коли запущено виправлене ядро.
Оновлення безпеки Bitcoin Lightning блокує CVE-2026-98432, вразливість ядра Linux залишається
CryptoSlateПоділитися
Короткий зміст
Новини про bitcoin: LND випустила v0.20.7-beta та v0.21.6-beta 30 жовтня, щоб заблокувати атаку CVE-2026-98432, вимкнувши за замовчуванням слухачів MPTCP. Вада ядра Linux залишається незапatchenoю, що виставляє під загрозу системи з сервісами MPTCP. Ubuntu оцінила її як критичну з балом CVSS 3.1 9.8; вада пов’язана з використанням після звільнення (use-after-free) при обробці пам’яті в IPv4 TCP. Розробники LND рекомендують оновити LND, вимкнути MPTCP на рівні хоста та встановити виправлене ядро, коли воно з’явиться.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.