Một lỗ hổng đã được tiết lộ trong Core Lightning, phần mềm được sử dụng trên mạng thanh toán Lightning của bitcoin, có thể gây ra các lỗi sập liên tục ngay cả sau khi nâng cấp. Việc tiết lộ của nhà nghiên cứu Nishant Bansal vào ngày 24 tháng 10 xác định các phiên bản v25.02 đến v26.04 là các phiên bản bị ảnh hưởng. Việc khởi động lại sẽ tải lại thông báo độc hại đã được lưu, gây ra một lỗi sập khác. Bansal cho biết các nhà vận hành phải xóa thủ công bản ghi độc hại để khôi phục nút mạng.
Core Lightning đã tích hợp bản vá phòng ngừa thông qua PR #9082 vào ngày 24 tháng Tư. Sau đó, Core Lightning đã phát hành bản sửa lỗi trong v26.04.1 vào ngày 25 tháng Tư, vài tháng trước khi công bố vào tháng Mười. Bitcoin Optech đã thu hút sự chú ý đến lỗ hổng này vào ngày 30 tháng Mười.
Các thông báo kênh mô tả các kết nối trong đồ thị định tuyến Lightning. Thông báo độc hại đã chỉ định một nút mạng chưa từng được biết đến làm cả hai đầu cuối của một kết nối. Các phiên bản dễ bị tổn thương đã chấp nhận thông báo và lưu thông báo vào gossip_store trên đĩa trước khi thêm thông báo vào đồ thị định tuyến. Đồ thị cố gắng thêm cùng một nút hai lần. Một biện pháp bảo vệ ngăn trùng lặp đã kết thúc gossipd, thành phần chịu trách nhiệm xử lý các thông báo này. Core Lightning coi sự cố của gossipd là nghiêm trọng và tắt toàn bộ nút mạng.
Bản vá xác thực thứ tự điểm cuối trước khi chấp nhận thông báo. Kiểm tra yêu cầu ID nút đầu tiên phải nhỏ hơn nghiêm ngặt ID thứ hai, loại bỏ các thông báo có ID điểm cuối giống nhau. Kiểm tra này ngăn các thông báo không hợp lệ được chấp nhận và lưu trữ. Tuy nhiên, việc xác thực chỉ áp dụng cho các thông báo đến, trong khi quá trình khởi động vẫn tiếp tục tải các bản ghi gossip_store hiện có. Do đó, bản nâng cấp sẽ giữ nguyên bất kỳ bản ghi độc hại nào được lưu trữ trước khi sự cố xảy ra.
Bansal cho biết việc khôi phục yêu cầu phải xóa bản ghi độc hại khỏi gossip_store một cách thủ công. Tuy nhiên, việc xóa bản ghi mà không nâng cấp sẽ khiến hệ thống dễ bị tổn thương trước một sự cố khác. Theo thông báo của Bansal, kẻ tấn công có thể gửi lại thông báo này miễn là đầu ra tài trợ do kẻ tấn công kiểm soát vẫn chưa được chi tiêu. Bitcoin Optech cho biết các phiên bản trước v25.02 có thể nhận và chuyển tiếp các thông báo này mà không bị sập. Do đó, kẻ tấn công không cần kết nối trực tiếp với từng nút mạng dễ bị tổn thương.
Phiên bản v26.04.1 là phiên bản sớm nhất chứa bản sửa lỗi cho lỗ hổng này. Tính đến ngày 2 tháng 11, phiên bản mới nhất là v26.06.9, được phát hành vào ngày 7 tháng 10. Các nhà phát triển khuyến nghị mạnh mẽ nên cài đặt v26.06.9.
Thời gian ngừng hoạt động tạo ra rủi ro giám sát thanh toán ngoài việc làm dịch vụ không khả dụng. Bansal cảnh báo rằng một nút mạng ngoại tuyến không thể giám sát blockchain để phát hiện các trạng thái kênh bị thu hồi hoặc yêu cầu thanh toán có hạn chót. Một nút bỏ lỡ những sự kiện này có thể khiến nguồn vốn gặp rủi ro.
Các nút mạng Core Lightning có thể sụp đổ sau khi nâng cấp cho đến khi bản ghi độc hại bị xóa bỏ
CryptoSlateChia sẻ
Tóm tắt
Một bản nâng cấp blockchain gần đây cho phần mềm Core Lightning có thể gây ra sự cố sập nút mạng do vấn đề ghi chép độc hại. Lỗ hổng này ảnh hưởng đến các phiên bản v25.02 đến v26.04, nơi một thông báo kênh không hợp lệ tạo ra các mục nút trùng lặp. Một bản sửa lỗi đã được thêm vào v26.04.1 vào ngày 25 tháng Tư, nhưng các ghi chép độc hại cũ vẫn còn tồn tại. Các nhà nghiên cứu cho biết một kẻ tấn công có thể kích hoạt lại lỗ hổng này nếu đầu ra tài trợ vẫn chưa được chi tiêu. Các nhà phát triển khuyến nghị nâng cấp lên v26.06.9 để được bảo vệ. Nên thực hiện nâng cấp mạng để tránh gián đoạn.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.