Core Lightning、複数の安全性不備を確認　セキュリティ版の公開後は速やかな更新を要請

Lightning Network実装のひとつであるCore Lightningは、複数のセキュリティ上の不備を確認したと発表し、ノード運用者に対し、公開予定のセキュリティ更新をリリース後できるだけ早く適用するよう呼びかけた。更新までの暫定策として、直ちにアップグレードできない運用者には、ノードを"offline"オプション付きで起動し、ピア接続と送金・ルーティングを停止した状態で稼働させることを推奨する。 開発チームによると、AI生成のCVE報告が大量に届いていたため精査を進めたところ、修正を要する実在の脆弱性が複数含まれていることが判明した。現時点では技術的な詳細は公表せず、セキュリティリリースが利用可能になり次第、更新を最優先するよう案内している。暫定運用として"offline"で起動すると、ネットワークから切断され、入出金および経路に含まれるLightning決済がブロックされる一方、デーモン自体は稼働を継続しBitcoinブロックチェーンの監視を続ける。プロジェクトは後に、"offline"はパッチ準備中の一時的な防御設定であり、リリース後は修正版へのアップグレードが主たる対応になると補足した。 "offline"が推奨される理由として、デーモンを停止せずに稼働させることでブロックチェーン追跡を継続でき、相手方がチャネルをforce-closeした場合に検知して対応できる点が挙げられる。完全に停止するとチェーン監視ができず、相手がBitcoin上で取引を公開した際に見逃す可能性があり、対応機会を失うリスクがある。このためCore Lightningは、全面停止ではなく"offline"での継続稼働を勧めている。 修正版を適用した後は"offline"を外して再起動する必要がある。更新後も"offline"を付けたままでは切断状態が続き、通常の送金やルーティングが再開されない。 不明点も多い。Core Lightningは、確認した脆弱性について技術的な説明を公開しておらず、CVE識別子、深刻度、影響するコンポーネントやバージョン、実環境で悪用された痕跡も示していない。運用者は、今後公表されるセキュリティリリースの案内に従い、自身の環境が影響を受けるか判断することになる。 今回の問題は、今年前半に公表された、connectd（ピア処理）およびgossipd（ネットワーク・ゴシップ処理）におけるメモリ枯渇を伴うサービス拒否（DoS）不備とは別件とされる。過去の不備は、リモートのピアが無制限のメモリ使用を引き起こせる内容で、今回の警告以前に修正済みだという。 また、Bitcoin系ソフトウェアでは、セキュリティ更新が運用者の即応を求めるケースは珍しくない。記事は、Bitcoin Coreの高プロファイル修正として、ブロック検証の不具合（CVE202452911）をBitcoin Core 29.0で修正した例を挙げるほか、Lightningクライアントの事例として、2023年半ばのLND 0.16.3におけるメモリリーク問題、同年後半に注目されたreplacement-cycling攻撃に関する研究を紹介している。 Core Lightningは、AI生成のCVE投稿のうち複数が有効だったことは認めた一方、修正完了までの間は、攻撃経路、影響関数、再現手順などの公開は控えるとしている。 運用者向けの実務対応は次の通り。 1）Core Lightningのセキュリティリリースを注視し、公開され次第ただちに適用する。 2）すぐに更新できない場合は"offline"オプションで再起動し、ピア接続と決済・ルーティングを停止しつつ、ブロックチェーン監視を継続する。 3）チャネルのforce-close取引を見逃すリスクを理解しない限り、デーモンの完全停止は避ける。 4）更新適用後は"offline"を外してから再起動し、再接続して通常運用（送金・ルーティング）を再開する。 Core Lightningの現時点の開示内容に基づけば、今回確認された問題に関連する資金損失や攻撃成功の報告は出ていない。運用者は本アドバイザリを緊急の注意喚起として扱い、パッチ公開後の更新を最優先し、"offline"はあくまで一時的な緩和策として用いるべきだ。