LND đã phát hành v0.20.7-beta và v0.21.6-beta vào ngày 30 tháng Mười với các trình lắng nghe MPTCP bị vô hiệu hóa mặc định. Thay đổi này chặn tuyến tấn công CVE-2026-98432 đã được chứng minh thông qua các trình lắng nghe đó nhưng không sửa lỗi lỗ hổng kernel Linux hoặc bảo vệ các dịch vụ khác. Do đó, các người vận hành Lightning sử dụng kernel bị ảnh hưởng và chưa được vá vẫn tiếp tục bị phơi bày sau khi cập nhật LND, phần mềm chạy các nút mạng thanh toán của họ. Một dịch vụ MPTCP khác bị phơi bày trên cùng máy có thể giữ nguyên tuyến tấn công đã được chứng minh.
Lỗ hổng liên quan đến việc xử lý bộ nhớ use-after-free trong các kết nối TCP IPv4 của Linux và có thể cho phép kẻ tấn công thực thi mã trên máy chủ bị ảnh hưởng. Ubuntu đánh giá lỗ hổng này ở mức nghiêm trọng, với điểm CVSS 3.1 là 9.8. Ghi chú của người vận hành LND cho biết các phiên bản Go từ 1.24 trở đi đã kích hoạt trình lắng nghe MPTCP của Linux làm mặc định. Ghi chú nêu rõ rằng LND 0.21.x do đó đã mở MPTCP trên các cổng peer, gRPC và REST được sử dụng cho các kết nối nút và giao diện ứng dụng.
Lời khuyên của Đội an ninh Go cho biết rằng lỗ hổng được chứng minh yêu cầu một trình nghe MPTCP được mở, trong khi lỗi lõi nền tảng có phạm vi rộng hơn. Lời khuyên nêu rằng các cuộc tấn công tương tự có thể xảy ra mà không cần trình nghe MPTCP, nhưng không chứng minh được lỗ hổng cụ thể đối với các hệ thống không có những trình nghe đó. Go cảnh báo rằng việc vô hiệu hóa MPTCP riêng lẻ trong từng chương trình là không ổn định, vì chỉ cần một trình nghe còn bị mở là vẫn duy trì con đường bị khai thác. Go cũng cảnh báo rằng các cài đặt socket rõ ràng có thể ghi đè các thiết lập mặc định. Các lời khuyên ghi nhận một lỗ hổng được chứng minh trên Linux, không phải bằng chứng về các cuộc tấn công vào các nút LND hoặc đánh cắp bitcoin. Các bản vá của Core Lightning được báo cáo vào ngày 6 tháng 11 giải quyết các lỗ hổng kênh và lệnh từ xa riêng biệt.
Bộ theo dõi Ubuntu, được xem xét vào ngày 9 tháng 11 sau bản cập nhật ngày 7 tháng 11, vẫn ghi nhận gói Linux tiêu chuẩn cho Ubuntu 24.04 LTS là dễ bị tổn thương. Bộ theo dõi liệt kê công việc đang tiến hành cho gói này ở phiên bản 6.8.0-149.149. Mục Ubuntu 22.04 LTS cũng vẫn được ghi là dễ bị tổn thương, với công việc đang tiến hành ở phiên bản 5.15.0-203.213. Thông báo ngày 2 tháng 11 của Canonical cho biết các bản sửa lỗi đã sẵn sàng thông qua kho -proposed cho người dùng thực hiện kiểm thử chấp nhận kernel trong khi kiểm thử đủ điều kiện vẫn đang tiếp diễn.
Bản tin tiến độ từ ngày 1 đến 7 tháng 11 của Ubuntu cho biết một số bản phát hành, bao gồm 24.04, đã tiến tới giai đoạn -updates. Tuy nhiên, bản tin không liệt kê chi tiết từng biến thể kernel. Do đó, các quản trị viên phải xác minh bản cập nhật khả dụng cho gói kernel chính xác, thay vì chỉ dựa vào tên bản phát hành Ubuntu. Bộ theo dõi ghi nhận gói linux tiêu chuẩn của Ubuntu 26.10 đã được sửa trong phiên bản 7.3.0-10.10. Các biến thể kernel như Cloud, hardware-enablement và các loại khác có các mục theo dõi riêng biệt, do đó trạng thái đã được sửa của một gói không xác định trạng thái của các gói khác.
Các nhà duy trì LND khuyến nghị cập nhật LND, tắt MPTCP ở cấp máy chủ và cài đặt kernel đã được sửa chữa ngay khi hệ điều hành cung cấp bản cập nhật. Các nhà duy trì chỉ định lệnh sudo sysctl -w net.mptcp.enabled=0 và khuyến nghị cấu hình bền vững để duy trì cài đặt này. Cài đặt này hoạt động riêng biệt trong mỗi không gian mạng, do đó các người vận hành Docker cũng phải kiểm tra cấu hình mạng của container. Một thay đổi ở cấp máy chủ đơn thuần không thay thế được việc kiểm tra này. Những người vận hành không thể cập nhật LND ngay lập tức có thể khởi chạy binary hiện tại với GODEBUG=multipathtcp=0 để tắt các trình lắng nghe MPTCP mặc định của Go. Các nhà duy trì cảnh báo người vận hành không được khôi phục lại cài đặt mặc định này trước khi sửa chữa kernel.
Canonical khuyến nghị sử dụng lệnh uname -r để xác định nhân đang chạy. Canonical yêu cầu khởi động lại sau khi cài đặt bản cập nhật bảo mật cho nhân. Cập nhật LND và cài đặt gói nhân là hai bước riêng biệt, và việc sửa chữa hệ điều hành chỉ hoàn tất khi nhân đã được vá đang chạy.
Cập nhật bảo mật Bitcoin Lightning chặn CVE-2026-98432, lỗ hổng trên Linux Kernel vẫn còn
CryptoSlateChia sẻ
Tóm tắt
Tin tức về bitcoin: LND đã phát hành v0.20.7-beta và v0.21.6-beta vào ngày 30 tháng Mười để ngăn chặn cuộc tấn công CVE-2026-98432 bằng cách vô hiệu hóa các trình lắng nghe MPTCP theo mặc định. Lỗi trong nhân Linux vẫn chưa được vá, làm lộ các hệ thống có dịch vụ MPTCP. Được Ubuntu đánh giá là nghiêm trọng với điểm CVSS 3.1 là 9.8, lỗi này liên quan đến xử lý bộ nhớ use-after-free trong IPv4 TCP. Các nhà phát triển LND khuyên cập nhật LND, vô hiệu hóa MPTCP ở cấp máy chủ và cài đặt nhân đã được sửa khi có sẵn.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.