„Eclair“ pataiso naršyklės ataką, kuri gali siųsti komandas į „Lightning“ mazgą
„Eclair“, ACINQ „Bitcoin Lightning“ mazgo programinė įranga, išleista 0.14.4 spalio 15 d., siekiant blokuoti kenkėjiškų tinklalapių autentifikuotų mazgų komandas per operatoriaus naršyklę.
Ekspozicija priklauso nuo įgalintos „Eclair“ API, kurią gali pasiekti operatoriaus naršyklė, o HTTP pagrindinis autentifikavimas jau yra toje naršyklėje. „Eclair“ mazgo API gali nuskaityti mazgo būseną, atidaryti ir uždaryti kanalus bei siųsti ir gauti mokėjimus.
Eclair v0.14.4 laidos pastabose paaiškinama, kaip talpyklos autentifikavimas leidžia kenkėjiškam tinklalapiui pateikti paprastą HTML formą mazgo API. Naršyklė automatiškai prideda išsaugotus kredencialus. Užpuolikas negali perskaityti atsakymo, tačiau autentifikuota komanda vis tiek pasiekia mazgą.
Naršyklės sąsajoms reikia užpakalinės programos
Pataisa grąžina HTTP 403 prieš paleidžiant API maršrutą, kai užklausoje yra „Origin“ antraštė, neatsižvelgiant į jos vertę.
Apribojimas taip pat turi įtakos teisėtoms naršyklės sąsajoms, įskaitant tas, kurios priglobtos toje pačioje vietoje kaip ir API. Šioms sąsajoms dabar reikia tarpinės programos tarp naršyklės ir „Eclair“.
Įprasta prieiga komandų eilutėje tęsiasi. Prižiūrėtojai teigia, kad curl ir eclair-cli nesiunčia „Origin“ antraštės, todėl jų įprastos API užklausos nepaveikiamos.
Kilmės patikra vis tiek palieka būtinus autentifikavimo ir tinklo apribojimus. Ne naršyklės klientas gali praleisti antraštę, todėl jos nebuvimas nereiškia, kad užklausa yra įgaliota. „Eclair“ prižiūrėtojas pm47 sako, kad API turėtų likti susieta su grįžtamuoju ryšiu, apribojant tinklo prieigą prie vietinio įrenginio.
Naršyklės pataisa buvo sujungta rugsėjo 15 d. ištraukimo užklausoje Nr. 3380 ir įtraukta į 0.14.4 versiją kartu su finansavimo mokesčiu ir „CryptoSlate“ pasirašymo taisymu, kuris taikomas spalio 12 d.
Prižiūrėtojai rekomenduoja atnaujinti ir sako, kad operatoriai gali sustabdyti „Eclair“, įdiegti naujinimą ir paleisti iš naujo neuždarydami „Lightning“ kanalų.
