Mise à jour de sécurité de Bitcoin Lightning : une porte se ferme, mais une faille critique de Linux persiste

Vulnérabilité des opérateurs de Bitcoin Lightning

Les opérateurs de Bitcoin Lightning utilisant un noyau Linux vulnérable et non corrigé restent exposés à une faille critique, même après avoir mis à jour LND, le logiciel qui fait fonctionner leurs nœuds de paiement. Les versions du 30 octobre, v0.20.7-beta et v0.21.6-beta, désactivent par défaut les écouteurs Multipath TCP (MPTCP), ce qui ferme la voie exploitée par la vulnérabilité CVE-2026-98432 à travers ces écouteurs. Cependant, la faille du noyau demeure active et peut affecter d'autres services sur la même machine.

Nature de la faille

Cette faille concerne l'utilisation de mémoire libérée lors de la gestion des connexions TCP IPv4 dans Linux, permettant à un attaquant d'exécuter du code sur un hôte affecté. Ubuntu lui attribue un score CVSS 3.1 critique de 9.8. Les notes des opérateurs de LND indiquent que Go 1.24 et les versions ultérieures activent par défaut les écouteurs MPTCP sur Linux, exposant ainsi LND 0.21.x sur ses ports pairs, gRPC et REST. Cela inclut les connexions entre nœuds et les interfaces d'application.

L'avis de l'équipe de sécurité Go explique pourquoi ce changement ne résout pas le problème. L'exploitation de la faille nécessite un écouteur MPTCP exposé, mais le bug du noyau est plus large.

Des attaques similaires contre des systèmes sans écouteurs MPTCP pourraient être possibles ; l'avis ne prouve pas qu'une exploitation non MPTCP ait été démontrée.

Recommandations et mises à jour

Go avertit également que désactiver MPTCP programme par programme est fragile. Un seul écouteur exposé restant laisse le système vulnérable à cette faille, et des paramètres de socket explicites peuvent remplacer la configuration par défaut de Go. Les avis décrivent une exploitation démontrée de Linux, sans preuves que des attaquants aient utilisé cette faille contre des nœuds LND ou volé des Bitcoins.

Les corrections du canal Core Lightning et des commandes à distance signalées le 6 novembre concernent des failles d'application distinctes. Le suivi d'Ubuntu, vérifié le 9 novembre, a toujours étiqueté le paquet linux standard pour Ubuntu 24.04 LTS comme vulnérable, avec un travail en cours dans 6.8.0-149.149.

Canonical a déclaré que des correctifs de noyau pour cette CVE étaient disponibles dans le dépôt -proposé pour les utilisateurs qui effectuent leurs propres tests d'acceptation de noyau.

Les mainteneurs de LND recommandent de mettre à jour l'application, de désactiver MPTCP sur l'hôte et d'installer un noyau corrigé dès que la distribution en met un à disposition. Leur conseil utilise la commande sudo sysctl -w net.mptcp.enabled=0 pour désactiver MPTCP sur l'hôte, avec une configuration persistante pour le conserver.

Conclusion

Les opérateurs qui ne peuvent pas mettre à jour LND immédiatement peuvent démarrer leur binaire existant avec GODEBUG=multipathtcp=0 pour désactiver les écouteurs MPTCP par défaut de Go. Canonical conseille de vérifier le noyau réellement en cours d'exécution avec la commande uname -r. Après avoir installé la mise à jour de sécurité du noyau, un redémarrage est nécessaire.

Un binaire LND mis à jour et un paquet de noyau installé sont des étapes distinctes ; compléter la réparation du système d'exploitation nécessite d'exécuter le noyau corrigé.