Обновление безопасности Bitcoin Lightning: закрытие одной двери, но критическая уязвимость Linux остается
Обновление Bitcoin Lightning устраняет уязвимости безопасности, но критические недостатки ядра Linux остаются неустраненными, оставляя операторов в зоне риска.
Уязвимость Bitcoin Lightning
Операторы Bitcoin Lightning, использующие уязвимую, не обновленную версию ядра Linux, продолжают оставаться подвержены критической уязвимости даже после обновления LND — программного обеспечения, необходимого для работы их платежных узлов.
Обновления и отключение MPTCP
В версиях, выпущенных 30 октября (v0.20.7-beta и v0.21.6-beta), по умолчанию отключены слушатели Multipath TCP (MPTCP), что закрывает продемонстрированный маршрут CVE-2026-98432 через этих слушателей. Однако уязвимость ядра остается актуальной и может затрагивать другие службы на той же машине.
«Другие открытые сервисы MPTCP на не обновленной машине могут сохранить уязвимость, даже после изменения стандартных слушателей LND.»
Эта уязвимость связана с использованием освобожденной памяти при обработке соединений IPv4 TCP в Linux и может позволить злоумышленнику выполнять код на затронутом хосте. Ubuntu присваивает ей критическую оценку CVSS 3.1 — 9.8.
Проблемы с конфигурацией
В заметках оператора LND указано, что версии Go 1.24 и более поздние по умолчанию включают слушатели MPTCP на Linux, что, следовательно, подвергло LND 0.21.x на его пире, gRPC и REST портах. Эти порты включают соединения узла с другими узлами и его интерфейсы приложений.
«Уведомление Команды безопасности Go объясняет, почему это изменение не может полностью устранить проблему.»
Продемонстрированная эксплуатация требует открытого слушателя MPTCP, однако ошибка ядра более широка. Похожие атаки на системы без слушателей MPTCP могут быть возможны; уведомление не исключает возможность эксплуатации без MPTCP.
Рекомендации по обновлению
Поддерживающие LND рекомендуют обновить приложение, отключить MPTCP на хосте и установить исправленное ядро, как только дистрибутив сделает его доступным. Их рекомендации включают использование команды:
sudo sysctl -w net.mptcp.enabled=0
для настройки хоста с постоянной конфигурацией. Настройка применяется для каждого сетевого пространства имен, поэтому развертывания Docker требуют отдельного внимания к сетевой конфигурации контейнера.
Проверка и перезагрузка
Canonical советует проверить, какое ядро фактически работает с помощью команды:
uname -r
После установки обновления безопасности ядра требуется перезагрузка. Обновленный бинарный файл LND и установленный пакет ядра — это разные этапы; завершение ремонта операционной системы требует запуска исправленного ядра.