I nodi di Core Lightning possono bloccarsi dopo un aggiornamento fino a quando non viene rimosso un trigger memorizzato

Vulnerabilità in Core Lightning

Una vulnerabilità recentemente scoperta in Core Lightning, il software per la rete di pagamento Lightning di Bitcoin, può causare il blocco di un nodo al riavvio, anche dopo un aggiornamento, poiché l'annuncio malevolo che ha attivato il problema rimane memorizzato su disco.

Dettagli della Vulnerabilità

La divulgazione del ricercatore Nishant Bansal, datata 24 ottobre, identifica le versioni dalla v25.02 alla v26.04 come interessate. Una volta che l'annuncio è salvato, il riavvio ricarica lo stesso trigger. Bansal afferma che l'operatore deve rimuovere manualmente il record problematico per ripristinare il nodo.

"Bitcoin Optech ha evidenziato il problema il 30 ottobre, ma la patch preventiva era già disponibile da mesi."

Correzioni e Aggiornamenti

Core Lightning ha integrato la PR #9082 il 24 aprile e ha rilasciato la correzione nella versione v26.04.1 il 25 aprile. La divulgazione di ottobre spiega una vulnerabilità la cui correzione preventiva era disponibile da aprile.

Gli annunci dei canali informano i nodi sulle connessioni nel grafo di routing Lightning. In questo caso, un annuncio nominava lo stesso nodo precedentemente sconosciuto come entrambi i punti finali. Il software vulnerabile ha accettato questo annuncio e lo ha scritto nel suo gossip_store su disco prima di caricarlo nel grafo di routing. Di conseguenza, il grafo ha tentato di inserire quel nodo due volte.

Meccanismo di Blocco e Soluzioni

Una salvaguardia contro i duplicati ha causato l'interruzione di gossipd, il componente che gestisce questi annunci, e Core Lightning ha trattato quel fallimento come fatale per l'intero nodo. La patch ora controlla l'ordinamento dei punti finali prima di accettare un annuncio. Richiedere che il primo ID nodo sia strettamente inferiore al secondo rifiuta anche ID uguali. Questo impedisce che input malformati vengano accettati e memorizzati.

Il nuovo controllo di validazione si applica agli annunci in arrivo. Tuttavia, l'avvio legge ancora i record già presenti in gossip_store, e l'aggiornamento non rimuove il record malevolo salvato prima del crash. Secondo Bansal, il recupero richiede la rimozione manuale del record malevolo da gossip_store.

"La semplice pulizia lascia anche un'installazione vulnerabile aperta a un altro crash: un attaccante può reinviare lo stesso annuncio mentre l'output di finanziamento controllato dall'attaccante rimane non speso."

Raccomandazioni per gli Operatori

Bitcoin Optech osserva che le versioni di Core Lightning precedenti alla v25.02 potevano accettare e rilanciare tali annunci senza bloccarsi. Pertanto, un attaccante non aveva bisogno di una connessione diretta a ogni nodo vulnerabile.

Per gli operatori che decidono di aggiornare ora, la versione v26.04.1 rappresenta la prima correzione per questo difetto. A partire dal 2 novembre, l'ultima versione del progetto è la v26.06.9, rilasciata il 7 ottobre, che i manutentori raccomandano vivamente di installare.

Rischi Associati

I tempi di inattività comportano un rischio di monitoraggio dei pagamenti oltre alla semplice indisponibilità del servizio. Bansal avverte che un nodo offline non può monitorare la catena per uno stato di canale revocato o per una richiesta di pagamento a tempo limitato che deve essere effettuata prima della scadenza. Perdere questi eventi può mettere a rischio i fondi.