LND naujinimas blokuoja vieną atakos kelią, o ne „Linux“ trūkumą
„Bitcoin Lightning“ operatoriai, valdantys paveiktą, nepataisytą „Linux“ branduolį, atnaujinę LND – programinę įrangą, naudojamą jų mokėjimo mazgams valdyti, lieka veikiami kritinio pažeidžiamumo.
Spalio 30 d. išleisti v0.20.7-beta ir v0.21.6-beta versijos pagal numatytuosius nustatymus išjungia kelių kelių TCP arba MPTCP klausytojus. Tai uždaro parodytą CVE-2026-98432 maršrutą per tuos klausytojus. Tai palieka branduolio trūkumą ir neapima kitų to paties įrenginio paslaugų.
Kita atskleista MPTCP paslauga tame pačiame nepataisytame kompiuteryje gali išsaugoti parodytą maršrutą, net ir pasikeitus numatytiems LND klausytojams.
Kodėl LND atnaujinimas turi apribojimų
Trūkumas susijęs su tuo, kad atlaisvinta atmintis naudojama tvarkant IPv4 TCP ryšį sistemoje Linux ir gali leisti užpuolikui paleisti kodą paveiktame pagrindiniame kompiuteryje. „Ubuntu“ jam priskiria kritinį CVSS 3.1 balą – 9,8.
LND operatoriaus pastabose sakoma, kad „Go 1.24“ ir naujesnės versijos „Linux“ pagal numatytuosius nustatymus įgalino MPTCP klausytojus, todėl LND 0.21.x buvo rodomas savo lygiaverčiuose, gRPC ir REST prievaduose. Tai apima mazgo jungtis su kitais mazgais ir jo programų sąsajas.
„Go Security“ komandos patarimas paaiškina, kodėl šis pakeitimas negali užbaigti darbo. Pademonstruotam išnaudojimui reikalingas atviras MPTCP klausytojas, tačiau branduolio klaida yra platesnė. Gali būti įmanomos panašios atakos prieš sistemas be MPTCP klausytojų; patarimas nenustato parodyto ne MPTCP išnaudojimo.
„Go“ taip pat įspėja, kad MPTCP išjungimas po vieną programą yra trapus. Vienintelis likęs atviras klausytojas palieka sistemą pažeidžiamą to maršruto, o aiškūs lizdo nustatymai gali nepaisyti numatytosios „Go“ konfigūracijos.
Patarimuose aprašomas demonstruojamas „Linux“ išnaudojimas, o ne įrodymai, kad užpuolikai naudojo šį trūkumą prieš LND mazgus arba pavogė „Bitcoin“.
CryptoSlate anksčiau apėmė tas pačias CVE pasekmes Solana tikrintojams. „Core Lightning“ kanalo ir nuotolinių komandų pataisymai, apie kuriuos pranešta lapkričio 6 d., yra susiję su atskirais programos trūkumais.
Ubuntu sekimo priemonė, patikrinta lapkričio 9 d., o paskutinį kartą atnaujinta lapkričio 7 d., vis dar pažymėta standartu linux Ubuntu 24.04 LTS paketas yra pažeidžiamas, vyksta darbas 6.8.0-149.149. Jo Ubuntu 22.04 LTS įrašas turėjo tą patį statusą 5.15.0-203.213.
Pleistro prieinamumas priklauso nuo pakuotės. Savo lapkričio 2 d. patarime „Canonical“ teigė, kad šio CVE branduolio pataisymai yra prieinami -proposed saugykla vartotojams, kurie atlieka savo branduolio priėmimo testus, o kvalifikacijos tikrinimas buvo tęsiamas.
Lapkričio 1–7 d. Ubuntu vykdomame informaciniame biuletenyje taip pat teigiama, kad kai kurie leidimai, įskaitant 24.04, buvo pažengę į -updates. Ši platesnė pastaba neidentifikuoja kiekvieno branduolio varianto. Todėl operatoriai turi patikrinti turimą naujinimą, kad būtų nustatytas tikslus branduolio paketas, o ne daryti išvadą apie prieinamumą vien iš Ubuntu leidimo pavadinimo.
Stebėjimo priemonė iliustruoja skirtumą: jame pateikiamas standartinis Ubuntu 26.10 linux pakuotė kaip nustatyta 7.3.0-10.10o debesies, aparatinės įrangos įgalinimo ir kiti branduolio variantai turi atskirus įrašus. Fiksuota vieno paketo būsena negali nustatyti kito paketo būsenos.
Apsaugai vis tiek reikia dirbti su pagrindiniu kompiuteriu
LND prižiūrėtojai rekomenduoja atnaujinti programą, išjungti MPTCP pagrindiniame kompiuteryje ir įdiegti pataisytą branduolį, kai tik platinimas padarys jį prieinamą.
Kaupiamosios pagrindinio kompiuterio konfigūracijos
Iliustracinė konfigūracija: LND numatytieji MPTCP klausytojai yra išjungti, bet kita paslauga vis tiek ją atskleidžia nepataisytame pagrindiniame kompiuteryje.
Išjungus MPTCP atitinkamose tinklo vardų erdvėse, parodytas maršrutas uždaromas. Pagrindinis branduolio trūkumas išlieka.
Įdiegus ir paleidus pataisytą branduolį, šis branduolio trūkumas ištaisomas. Diagrama išlaiko ankstesnį MPTCP mažinimą.
Atnaujinkite LND, adresuokite kitus MPTCP klausytojus ir tinklo vardų sritis, tada įdiekite ir paleiskite pataisytą branduolį.
Iliustracinės konfigūracijos, o ne veikiančio mazgo testai ar atakų įrašai. MPTCP išjungimas apima tik parodytą maršrutą; klaida yra platesnė. Išjungta būsena daroma prielaida, kad atitinkamos tinklo vardų erdvės yra padengtos. Kiti pažeidžiamumai nepatenka į taikymo sritį.
Jų nurodymai naudojami sudo sysctl -w net.mptcp.enabled=0 pagrindinio kompiuterio nustatymui su nuolatine konfigūracija, kad ji būtų išsaugota. Nustatymas taikomas kiekvienai tinklo vardų erdvei, todėl „Docker“ diegimui reikia skirti ypatingą dėmesį konteinerio tinklo konfigūracijai. Vien tik pagrindinio kompiuterio keitimas nepakeičia šios apimties patikrinimo.
Operatoriai, kurie negali iš karto atnaujinti LND, gali pradėti esamą dvejetainį failą GODEBUG=multipathtcp=0 norėdami išjungti Go numatytuosius MPTCP klausytojus. Prižiūrėtojai įspėja, kad prieš taisydami branduolį nereikėtų iš naujo įjungti šio numatytojo.
„Canonical“ pataria patikrinti, ar branduolys iš tikrųjų veikia uname -r. Įdiegus branduolio saugos naujinimą, reikia paleisti iš naujo. Atnaujintas dvejetainis LND ir įdiegtas branduolio paketas yra skirtingi etapai; norint užbaigti operacinės sistemos taisymą, reikia paleisti pataisytą branduolį.
