L'aggiornamento di sicurezza di Bitcoin Lightning chiude una porta, ma un difetto critico di Linux rimane irrisolto

Vulnerabilità Critica per gli Operatori di Bitcoin Lightning

Gli operatori di Bitcoin Lightning che utilizzano un kernel Linux non aggiornato e vulnerabile continuano a essere esposti a una vulnerabilità critica, nonostante l'aggiornamento di LND, il software impiegato per gestire i loro nodi di pagamento.

Dettagli della Vulnerabilità

Le versioni rilasciate il 30 ottobre, v0.20.7-beta e v0.21.6-beta, disabilitano per impostazione predefinita i listener Multipath TCP (MPTCP), chiudendo così il percorso dimostrato CVE-2026-98432 attraverso quei listener. Tuttavia, il difetto del kernel rimane attivo e non si limita ad altri servizi sulla stessa macchina.

Un altro servizio MPTCP esposto sulla stessa macchina non patchata può mantenere il percorso vulnerabile, anche dopo che i listener predefiniti di LND sono stati modificati. Questo difetto coinvolge la memoria liberata utilizzata durante la gestione delle connessioni TCP IPv4 in Linux e può consentire a un attaccante di eseguire codice su un host vulnerabile.

Ubuntu assegna a questa vulnerabilità un punteggio CVSS 3.1 critico di 9.8.

Implicazioni per gli Operatori di LND

Le note degli operatori di LND indicano che Go 1.24 e versioni successive abilitano i listener MPTCP per impostazione predefinita su Linux, esponendo così LND 0.21.x ai suoi peer, porte gRPC e REST. Queste includono le connessioni del nodo ad altri nodi e le sue interfacce applicative.

L'avviso del Go Security Team spiega perché tale modifica non risolve completamente il problema. L'exploit dimostrato richiede un listener MPTCP esposto, ma il bug del kernel è più ampio.

Attacchi simili contro sistemi privi di listener MPTCP potrebbero essere possibili; tuttavia, l'avviso non stabilisce un exploit non MPTCP dimostrato. Go avverte anche che disabilitare MPTCP un programma alla volta è fragile. Un singolo listener esposto rimane una vulnerabilità per il sistema, e impostazioni esplicite dei socket possono sovrascrivere la configurazione predefinita di Go.

Stato delle Patch e Raccomandazioni

Gli avvisi descrivono un exploit dimostrato di Linux, ma non forniscono prove che gli attaccanti abbiano utilizzato questo difetto contro i nodi LND o rubato Bitcoin. CryptoSlate ha precedentemente trattato le implicazioni dello stesso CVE per i validatori di Solana.

Le correzioni del canale Core Lightning e dei comandi remoti, riportate il 6 novembre, riguardano difetti applicativi separati. Il tracker di Ubuntu, controllato il 9 novembre e aggiornato l'ultima volta il 7 novembre, etichettava ancora il pacchetto standard linux per Ubuntu 24.04 LTS come vulnerabile, con lavori in corso in 6.8.0-149.149.

La voce per Ubuntu 22.04 LTS riportava lo stesso stato per 5.15.0-203.213. La disponibilità delle patch varia a seconda del pacchetto. Nel suo avviso del 2 novembre, Canonical ha dichiarato che le correzioni del kernel per questo CVE erano disponibili nel repository -proposed per gli utenti che eseguono i propri test di accettazione del kernel, mentre i test di qualificazione continuano.

La newsletter in fase di sviluppo di Ubuntu per il periodo dal 1 al 7 novembre ha anche affermato che alcune versioni, inclusa la 24.04, erano avanzate a -updates. Quella nota più ampia non identifica ogni variante del kernel.

Azioni Raccomandate per gli Operatori

Gli operatori devono quindi controllare l'aggiornamento disponibile per il loro pacchetto kernel specifico, piuttosto che inferire la disponibilità solo dal nome della versione di Ubuntu. Il tracker illustra la distinzione: elenca il pacchetto standard Ubuntu 26.10 linux come corretto in 7.3.0-10.10, mentre le varianti del kernel cloud, hardware-enablement e altre hanno voci separate.

Uno stato corretto per un pacchetto non può stabilire lo stato di un altro. I manutentori di LND raccomandano di aggiornare l'applicazione, disabilitare MPTCP sull'host e installare un kernel patchato non appena la distribuzione ne rende disponibile uno.

Le loro indicazioni suggeriscono di utilizzare sudo sysctl -w net.mptcp.enabled=0 per l'impostazione dell'host, con una configurazione persistente per mantenerla. L'impostazione si applica a ogni namespace di rete, quindi i deployment Docker necessitano di attenzione separata alla configurazione di rete del container.

Cambiare solo l'host non è un sostituto per controllare quell'ambito. Gli operatori che non possono aggiornare immediatamente LND possono avviare il loro binario esistente con GODEBUG=multipathtcp=0 per disabilitare i listener MPTCP predefiniti di Go. I manutentori avvertono di non riattivare quel predefinito prima di patchare il kernel.

Canonical consiglia di controllare il kernel effettivamente in esecuzione con uname -r. Dopo aver installato l'aggiornamento di sicurezza del kernel, è necessario riavviare. Un binario LND aggiornato e un pacchetto kernel installato sono traguardi distinti; completare la riparazione del sistema operativo richiede di eseguire il kernel patchato.