Core Lightning підтвердив низку вразливостей і закликає терміново оновити вузли

Команда Core Lightning підтвердила наявність кількох вразливостей у своїй реалізації Lightning Network і закликає операторів вузлів встановити майбутнє оновлення безпеки одразу після його публікації. Як тимчасовий запобіжний крок проєкт радить тим, хто не може оперативно оновитися, запускати вузол із параметром offline. У такому режимі вузол припиняє підключення до пірів і блокує вхідні, вихідні та маршрутизовані платежі в Lightning, але демон продовжує стежити за блокчейном Bitcoin. Підтверджені проблеми виявили під час перевірки великого масиву AI-згенерованих звітів CVE: серед них знайшли кілька повідомлень із реальними дефектами, що потребують виправлення. Технічні деталі наразі не розкривають. Операторам рекомендують зосередитися на встановленні релізу безпеки, щойно він стане доступним. Чому саме offline, а не повне вимкнення? Режим offline залишає демон Core Lightning активним, щоб він міг відстежувати ланцюг Bitcoin і реагувати на ситуації, коли контрагент примусово закриває канал (forceclose). Якщо вузол повністю зупинити, він не зможе моніторити блокчейн; у разі публікації транзакцій партнером, поки ваш вузол не працює, можна пропустити подію й втратити можливість вчасно відреагувати. Саме тому Core Lightning радить не вимикати демон повністю, а використовувати offline як тимчасовий режим захисту. Після встановлення виправленої версії параметр offline потрібно прибрати. Якщо залишити його увімкненим після оновлення, вузол так і залишатиметься від'єднаним та не зможе виконувати звичайні операції Lightning — платежі й маршрутизацію. Що поки невідомо. Проєкт не оприлюднив технічних подробиць щодо підтверджених вразливостей: немає публічних ідентифікаторів CVE, оцінок критичності, переліку компонентів або версій, на які це впливає, а також немає публічних свідчень експлуатації в реальних атаках. Відповідно, операторам слід орієнтуватися на інструкції, які супроводжуватимуть реліз безпеки, щоб визначити, чи зачеплені їхні інсталяції. Контекст. Нові підтверджені проблеми не пов'язані з раніше розкритими цього року вразливостями типу відмови в обслуговуванні, що стосувалися виснаження пам'яті в connectd (обробка пірів) і gossipd (обробка мережевого gossip). Ті дефекти дозволяли віддаленим пірам провокувати необмежене споживання пам'яті та були виправлені ще до поточного попередження. Ситуації, коли оновлення безпеки вимагають термінових дій від операторів, для екосистеми Bitcoin не є рідкістю. Згадуються нещодавні резонансні виправлення в Bitcoin Core, зокрема CVE202452911 — помилка валідації блоку, усунута в Bitcoin Core 29.0, а також інциденти в інших клієнтах Lightning: проблема витоку пам'яті в LND 0.16.3 у середині 2023 року та дослідження атаки replacementcycling, що з'явилося пізніше того ж року. Core Lightning зазначив, що частина AI-згенерованих подань CVE виявилася коректною, але утримався від публікації шляхів експлуатації, уражених функцій чи кроків відтворення до завершення робіт над виправленнями. Практичні кроки для операторів: 1) Стежити за виходом релізу безпеки Core Lightning і встановити його одразу після доступності. 2) Якщо оновлення неможливе відразу, перезапустити Core Lightning з параметром offline, щоб заблокувати з'єднання з пірами та маршрутизацію платежів, зберігаючи моніторинг блокчейна. 3) Не зупиняти демон повністю, якщо ви не усвідомлюєте ризик пропустити транзакції forceclose каналів. 4) Після встановлення оновлення прибрати offline перед перезапуском, щоб вузол знову під'єднався до мережі та відновив нормальні платежі й маршрутизацію. За наявною інформацією Core Lightning, повідомлень про збитки чи успішні атаки, пов'язані з новими підтвердженими проблемами, поки не надходило. Попередження варто сприймати як термінове: виконати рекомендації щодо оновлення після публікації патча, а offline використовувати лише як тимчасову міру.