Lỗi Docker của Bitcoin Core Lightning phơi bày các chủ nút mạng dù hiển thị phiên bản v26.06.7

Các nhà duy trì phần mềm Bitcoin Lightning cho biết bốn thẻ hình ảnh đã cung cấp các tệp nhị phân chưa được vá khi báo phiên bản v26.06.7 khi khởi động, khiến người dùng bị ảnh hưởng phải thực hiện thêm một nhiệm vụ: kiểm tra digest của hình ảnh và tải về hình ảnh đã được sửa nếu nó khác biệt.

Một số người vận hành Core Lightning đã thử nâng cấp lên v26.06.7 thông qua Docker có thể vẫn chưa áp dụng các bản vá bảo mật của nó.

Bản thông báo cập nhật xác định các thẻ bị ảnh hưởng là v26.06.7, latest, v26.06.7-vls và latest-vls. Chúng đã phục vụ hình ảnh mà không bao gồm các bản sửa lỗi của bản phát hành từ ngày 28 tháng 8 lúc 16:04 UTC đến ngày 1 tháng 9. Bản thông báo không cung cấp thời gian kết thúc chính xác.

Quy trình xây dựng tự động đã xuất bản các hình ảnh từ một thẻ đại diện. Các quản trị viên cho biết họ đã thay thế chúng và xóa mọi tham chiếu đến các manifest không chính xác. Tuy nhiên, một người vận hành vẫn giữ hình ảnh lỗi không thể dựa vào phiên bản khởi động của nó để xác nhận bản vá đã được áp dụng.

Phiên bản ngày 28 tháng 8 đã đặt thời gian cấm công bố nguồn trong 14 ngày, chỉ ra việc công bố kế hoạch vào ngày 11 tháng 9. Tính đến ngày 8 tháng 9, thông báo vẫn mô tả việc công bố này là sắp tới. Các nhà duy trì cho biết sự trì hoãn này giúp các nhà vận hành có thời gian nâng cấp trước khi những kẻ tấn công tiềm tàng có thể reverse-engineer các bản sửa lỗi.

Các người duy trì yêu cầu bất kỳ ai trước đây đã lấy một trong bốn thẻ hãy so sánh bản tóm tắt của nó, mã băm nhận diện hình ảnh, với các giá trị đã được sửa đổi:

Đối với hình ảnh phiên bản tiêu chuẩn, thông báo cung cấp lệnh này để kiểm tra hình ảnh cục bộ. Đầu ra của nó riêng lẻ không xác định được hình ảnh nào mà container hiện tại đang chạy:

docker image inspect --format '{{index .RepoDigests 0}}' elementsproject/lightningd:v26.06.7

Nếu bản tóm tắt khác nhau, lệnh tải xuống tương ứng là:

docker pull elementsproject/lightningd:v26.06.7

Thông báo cũng cung cấp docker pull elementsproject/lightningd:latest cho thẻ đó. Người dùng VLS cần digest VLS riêng trong bảng. Cài đặt VLS_CLN_VERSION của họ cũng phải khớp với v26.06.7, nếu không remote_hsmd_socket sẽ từ chối khởi động; trình ký vẫn là VLS v0.14.0.

Người dùng sử dụng phiên bản v26.06.6 hoặc cũ hơn đã tránh được lỗi đóng gói này. Ngoại lệ này liên quan đến việc đóng gói lỗi; các bản sửa lỗi bảo mật mới thuộc về v26.06.7.

Việc sửa đổi bao bì thay đổi vấn đề ngay lập tức của người vận hành về việc cố gắng nâng cấp, có thể cần được kiểm tra lại trong khi cửa sổ đó vẫn còn mở.

Một bẫy tải xuống khác tồn tại trong thời gian cấm. Các tệp nén mã nguồn tự động đính kèm bởi GitHub không phải là mã nguồn v26.06.7, các quản trị viên cảnh báo, do đó việc biên dịch các tệp nén này sẽ không tạo ra các tệp nhị phân đã vá như đã quảng bá.

Bài viết Bitcoin Core Lightning Docker bug để lại các chủ nút mạng bị phơi bày dù hiển thị phiên bản đã cập nhật xuất hiện đầu tiên trên CryptoSlate.