Sicherheitsupdate für Bitcoin Lightning: Eine Tür wird geschlossen, aber ein kritischer Linux-Fehler bleibt bestehen
Das Update von Bitcoin Lightning behebt Sicherheitsanfälligkeiten, jedoch bleiben kritische Fehler im Linux-Kernel ungepatcht, was die Betreiber gefährdet.
Einleitung
Betreiber von Bitcoin Lightning, die einen betroffenen, nicht gepatchten Linux-Kernel verwenden, sind nach dem Upgrade von LND, der Software zur Verwaltung ihrer Zahlungs-Knoten, weiterhin einer kritischen Sicherheitsanfälligkeit ausgesetzt.
Sicherheitsanfälligkeit und Updates
Die Veröffentlichungen vom 30. Oktober, v0.20.7-beta und v0.21.6-beta, deaktivieren standardmäßig die Multipath TCP- oder MPTCP-Listener. Damit wird der nachgewiesene CVE-2026-98432-Exploit über diese Listener geschlossen. Der Kernel-Fehler bleibt jedoch bestehen und betrifft nicht andere Dienste auf demselben Rechner.
Ein weiterer exponierter MPTCP-Dienst auf demselben nicht gepatchten Rechner kann den nachgewiesenen Exploit beibehalten, selbst nachdem sich die Standard-Listener von LND geändert haben.
Details zur Sicherheitsanfälligkeit
Der Fehler betrifft den freigegebenen Speicher, der während der IPv4 TCP-Verbindungsbehandlung in Linux verwendet wird, und kann es einem Angreifer ermöglichen, Code auf einem betroffenen Host auszuführen. Ubuntu bewertet ihn mit einem kritischen CVSS 3.1-Wert von 9.8.
Die Notizen der LND-Betreiber besagen, dass Go 1.24 und höher standardmäßig MPTCP-Listener auf Linux aktiviert haben, was LND 0.21.x folglich auf seinen Peer-, gRPC- und REST-Ports exponiert hat. Dazu gehören die Verbindungen des Knotens zu anderen Knoten und seine Anwendungsoberflächen.
Warnungen und Empfehlungen
Die Mitteilung des Go Security Teams erklärt, warum diese Änderung das Problem nicht vollständig lösen kann. Der nachgewiesene Exploit erfordert einen exponierten MPTCP-Listener, aber der Kernel-Fehler ist umfassender.
Ähnliche Angriffe auf Systeme ohne MPTCP-Listener könnten möglich sein; die Mitteilung stellt keinen nachgewiesenen Nicht-MPTCP-Exploit fest. Go warnt auch, dass das Deaktivieren von MPTCP programmseitig fragil ist. Ein einzelner verbleibender exponierter Listener macht das System anfällig für diesen Exploit, und explizite Socket-Einstellungen können die Standardkonfiguration von Go überschreiben.
Aktuelle Situation und Patches
Die Mitteilungen beschreiben einen nachgewiesenen Linux-Exploit, jedoch gibt es keinen Nachweis, dass Angreifer diesen Fehler gegen LND-Knoten verwendet oder Bitcoin gestohlen haben. CryptoSlate berichtete zuvor über die Auswirkungen desselben CVE auf Solana-Validatoren.
Der Ubuntu-Tracker, der am 9. November überprüft und zuletzt am 7. November aktualisiert wurde, kennzeichnete das Standard-Linux-Paket für Ubuntu 24.04 LTS weiterhin als anfällig, mit laufenden Arbeiten an 6.8.0-149.149.
Die Verfügbarkeit von Patches variiert je nach Paket. In seiner Mitteilung vom 2. November sagte Canonical, dass Kernel-Fehlerbehebungen für dieses CVE im -proposed-Repository für Benutzer verfügbar sind, die ihre eigenen Kernel-Akzeptanztests durchführen, während die Qualifikationstests fortgesetzt werden.
Empfohlene Maßnahmen für Betreiber
Die LND-Wartenden empfehlen, die Anwendung zu aktualisieren, MPTCP auf dem Host zu deaktivieren und so schnell wie möglich einen gepatchten Kernel zu installieren, sobald die Distribution einen zur Verfügung stellt. Ihre Anleitung verwendet den Befehl sudo sysctl -w net.mptcp.enabled=0 für die Host-Einstellung, mit einer persistenten Konfiguration, um sie beizubehalten.
Die Einstellung gilt pro Netzwerk-Namespace, sodass Docker-Deployments besondere Aufmerksamkeit für die Netzwerkkonfiguration des Containers benötigen. Nur den Host zu ändern, ist kein Ersatz dafür, den Umfang zu überprüfen.
Betreiber, die LND nicht sofort aktualisieren können, können ihr vorhandenes Binary mit GODEBUG=multipathtcp=0 starten, um die standardmäßigen MPTCP-Listener von Go zu deaktivieren. Die Wartenden warnen davor, diese Standardkonfiguration vor dem Patchen des Kernels wieder zu aktivieren.
Überprüfung und Neustart
Canonical empfiehlt, den tatsächlich laufenden Kernel mit uname -r zu überprüfen. Nach der Installation des Kernel-Sicherheitsupdates ist ein Neustart erforderlich. Ein aktualisiertes LND-Binary und ein installiertes Kernel-Paket sind unterschiedliche Meilensteine; die vollständige Reparatur des Betriebssystems erfordert das Ausführen des gepatchten Kernels.