Узлы Core Lightning могут продолжать падать после обновления из-за сохранённого триггера

Обнаруженная уязвимость в Core Lightning

Обнаруженная уязвимость в Core Lightning, программном обеспечении для сети Lightning-платежей Bitcoin, может привести к сбоям узлов при перезапуске даже после обновления. Это происходит потому, что злонамеренное объявление, вызвавшее сбой, остаётся на диске.

Идентификация уязвимости

Исследователь Нишант Бансал в своём раскрытии от 24 октября идентифицировал версии с v25.02 по v26.04 как затронутые. После сохранения объявления, при перезапуске загружается тот же триггер. Бансал утверждает, что оператор должен вручную удалить проблемную запись, чтобы восстановить узел.

Патч и его применение

Bitcoin Optech выделил эту проблему 30 октября, однако профилактический патч был доступен уже несколько месяцев. Core Lightning объединил PR #9082 24 апреля и выпустил исправление в версии v26.04.1 25 апреля.

Раскрытие от октября объясняет уязвимость, для которой профилактическое исправление было доступно с апреля.

Механизм уязвимости

Объявления каналов информируют узлы о соединениях в графе маршрутизации Lightning. В данном случае объявление указывало на один и тот же ранее неизвестный узел как на оба конечных пункта. Уязвимое программное обеспечение приняло это объявление и записало его в свой gossip_store на диске, прежде чем загрузить в граф маршрутизации. Затем граф попытался вставить этот узел дважды.

Защита от дубликатов прервала работу gossipd, компонента, обрабатывающего эти объявления, и Core Lightning расценил этот сбой как фатальный для всего узла.

Новая проверка валидации

Патч проверяет порядок конечных пунктов перед принятием объявления. Требование, чтобы первый идентификатор узла был строго меньше второго, также отклоняет равные идентификаторы. Это предотвращает принятие и сохранение неправильно сформированного ввода.

Новая проверка валидации применяется к входящим объявлениям. При запуске всё ещё читаются записи, уже находящиеся в gossip_store, и обновление не удаляет злонамеренную запись, сохранённую до сбоя.

Бансал настаивает на необходимости ручного удаления злонамеренной записи из gossip_store.

Риски и рекомендации

Простая очистка также оставляет уязвимую установку открытой для нового сбоя: раскрытие указывает, что злоумышленник может повторно отправить то же самое объявление, пока контролируемый им выход финансирования остаётся неиспользованным.

Bitcoin Optech отмечает, что версии Core Lightning до v25.02 могли принимать и ретранслировать такие объявления, не падая сами. Таким образом, злоумышленнику не нужно было иметь прямое соединение с каждым уязвимым узлом.

Для операторов, выбирающих обновление сейчас, v26.04.1 является первым исправлением для этого дефекта. На 2 ноября последним релизом проекта является v26.06.9, выпущенный 7 октября, который поддерживающие лица настоятельно рекомендуют установить.

Время простоя несёт риск мониторинга платежей, выходящего за рамки недоступного сервиса. Бансал предупреждает, что оффлайн-узел не может следить за цепочкой на предмет отозванного состояния канала или временно ограниченного требования на платеж, которое должно быть выполнено до истечения срока. Пропуск этих событий может поставить средства под угрозу.