بٹ کوائن لائٹننگ سیکورٹی اپڈیٹ CVE-2026-98432 کو بلاک کر دیتا ہے، لینکس کرنل کی خامی باقی ہے

LND نے 30 اکتوبر کو v0.20.7-beta اور v0.21.6-beta جاری کیا، جس میں MPTCP سنٹر کو ڈیفالٹ طور پر بند کر دیا گیا ہے۔ یہ تبدیلی ان سنٹرز کے ذریعے ظاہر کی گئی CVE-2026-98432 حملے کی راہ کو روکتی ہے، لیکن لینکس کرنل کی کمزوری کو درست نہیں کرتی اور دوسری سروسز کو بھی محفوظ نہیں کرتی۔ اس لیے، متاثرہ، اپڈیٹ نہ ہونے والے کرنل استعمال کرنے والے لائٹننگ آپریٹرز اپڈیٹ کے بعد بھی خطرے میں رہتے ہیں، جو ان کے ادائیگی نوڈس چلاتے ہیں۔ اسی مشین پر موجود دوسری خطرناک MPTCP سروس بھی ظاہر کردہ حملے کی راہ کو کھلا رکھ سکتی ہے۔

یہ کمزوری لینکس IPv4 TCP کنکشنز میں استعمال کے بعد فری میموری ہینڈلنگ سے متعلق ہے اور حملہ آور کو متاثرہ ہوسٹ پر کوڈ اجرا کرنے کی اجازت دے سکتی ہے۔ یونٹو بھی اس خامی کو انتہائی اہم قرار دیتا ہے، جس کا CVSS 3.1 اسکور 9.8 ہے۔ LND کے آپریٹر نوٹس میں بتایا گیا ہے کہ 1.24 سے شروع ہونے والے Go ورژنز نے لینکس MPTCP سننرز کو ڈیفالٹ طور پر سرگرم کر دیا ہے۔ نوٹس میں کہا گیا ہے کہ اس لیے LND 0.21.x نے نوڈ کنکشنز اور ایپلیکیشن انٹرفیسز کے لیے استعمال ہونے والے پیر، gRPC اور REST پورٹس پر MPTCP کو سرگرم کر دیا ہے۔

گو سیکیورٹی ٹیم کی مشورت کے مطابق، دکھائی گئی استعمال کرنے والی کمزوری کے لیے ایک ایکسپوزڈ MPTCP لائسنر درکار ہے، جبکہ بنیادی کرنل کی کمزوری کا دائرہ کار وسیع تر ہے۔ مشورت میں کہا گیا ہے کہ MPTCP لائسنرز کے بغیر بھی اس طرح کے حملے ممکن ہو سکتے ہیں، لیکن ان لائسنرز کے بغیر کسی سسٹم کے خلاف دکھائی گئی کوئی استعمال کرنے والی کمزوری نہیں ہے۔ گو نے انتباہ کیا ہے کہ ہر پروگرام میں MPTCP کو الگ الگ بند کرنا ناپائیدار ہے، کیونکہ ایک باقی رہ جانے والا ایکسپوزڈ لائسنر دکھائی گئی راستہ برقرار رکھتا ہے۔ گو نے یہ بھی انتباہ کیا ہے کہ واضح سوکٹ سیٹنگز ڈیفالٹس کو اووررائٹ کر سکتی ہیں۔ مشورت میں ایک دکھائی گئی لینکس استعمال کرنے والی کمزوری درج ہے، LND نوڈس یا بٹ کوائن چوری کے خلاف حملوں کا ثبوت نہیں۔ 6 نومبر کو رپورٹ کردہ کور لائٹننگ فکس الگ چینل اور ریموٹ کمانڈ کمزوریوں کو حل کرتے ہیں۔

یو بونٹو ٹریکر، جس کا جائزہ 7 نومبر کے اپڈیٹ کے بعد 9 نومبر کو لیا گیا، اب بھی یو بونٹو 24.04 LTS کے معیاری لینکس پیکیج کو خطرناک کے طور پر نشان زد کر رہا ہے۔ ٹریکر نے اس پیکیج کے لیے ترقی کے تحت کام کو ورژن 6.8.0-149.149 میں درج کیا ہے۔ اسی طرح، یو بونٹو 22.04 LTS کا اندراج بھی خطرناک رہا، جس میں 5.15.0-203.213 میں ترقی کے تحت کام درج ہے۔ کینونیکل کی 2 نومبر کی اطلاع میں کہا گیا کہ کرنل قبولیت ٹیسٹنگ کرتے ہوئے صارفین کے لیے -proposed ریپوزٹری سے اصلاحات دستیاب ہیں جبکہ اہلیت ٹیسٹنگ جاری ہے۔

اوبنٹو کا نومبر 1-7 کا ورک-این-پروگریس نیوز لیٹر بتاتا ہے کہ کچھ ریلیز، جن میں 24.04 بھی شامل ہے، -updates تک پہنچ چکی ہیں۔ تاہم، نیوز لیٹر نے ہر کرنل ویرینٹ کا ذکر نہیں کیا۔ اس لیے آپریٹرز کو صرف اوبنٹو ریلیز کے نام پر انحصار نہیں کرنا چاہیے، بلکہ بالکل درست کرنل پیکیج کے لیے دستیاب اپڈیٹ کی تصدیق کرنی چاہیے۔ ٹریکر معیاری اوبنٹو 26.10 linux پیکیج کو 7.3.0-10.10 میں فکسڈ کے طور پر نشان زد کرتا ہے۔ کلاؤڈ، ہارڈویئر اینبلمنٹ اور دیگر کرنل ویرینٹس کے الگ الگ ٹریکر اندراجات ہیں، اس لیے ایک پیکیج کا فکسڈ اسٹیٹس دوسرے پیکیج کے اسٹیٹس کو متعین نہیں کرتا۔

LND کے مینٹینرز کی تجویز ہے کہ LND کو اپ ڈیٹ کیا جائے، ہوسٹ سطح پر MPTCP بند کیا جائے اور جب تک ڈسٹریبیوشن ایک درست شدہ کرنل فراہم نہ کر دے، اسے نصب کیا جائے۔ مینٹینرز سوڈو سسٹل -w net.mptcp.enabled=0 کمانڈ کا ذکر کرتے ہیں اور اس سیٹنگ کو برقرار رکھنے کے لیے مستقل کنفیگریشن کی تجویز کرتے ہیں۔ یہ سیٹنگ ہر نیٹ ورک نیمسپیس میں الگ طور پر کام کرتی ہے، اس لیے ڈاکر آپریٹرز کو کنٹینر نیٹ ورک کنفیگریشن بھی جانچنا چاہیے۔ صرف ہوسٹ سطح کا تبدیلی اس جانچ کی جگہ نہیں لے سکتا۔ جو آپریٹرز فوراً LND کو اپ ڈیٹ نہیں کر سکتے، وہ موجودہ بائنری کو GODEBUG=multipathtcp=0 کے ساتھ شروع کر سکتے ہیں تاکہ Go کے ڈیفالٹ MPTCP سننے والوں کو بند کیا جا سکے۔ مینٹینرز آپریٹرز کو انتباہ دیتے ہیں کہ وہ کرنل درست نہ ہونے تک اس ڈیفالٹ کو دوبارہ فعال نہ کریں۔

کینونیکل تجویز کرتا ہے کہ آپ uname -r کا استعمال کریں تاکہ موجودہ چلنے والے کرنل کی شناخت کی جا سکے۔ کینونیکل کرنل سیکورٹی اپڈیٹ کے نصب کے بعد ری بُوٹ کی ضرورت ہوتی ہے۔ LND کو اپڈیٹ کرنا اور کرنل پیکیج نصب کرنا الگ الگ مراحل ہیں، اور آپریٹنگ سسٹم کی مرمت تب تک مکمل نہیں ہوتی جب تک کہ اپڈیٹ کردہ کرنل چلنے لگ نہ جائے۔