Core Lightning исправил уязвимость в закрытии каналов в обновлении

Исправлена ошибка закрытия каналов в Core Lightning

В версии Core Lightning v26.06.7 устранена серьезная уязвимость, связанная с процессом закрытия каналов. Ранее ошибка позволяла узлам распространять устаревшее состояние уже закрытого канала, что давало возможность избежать применения штрафных санкций.

Распространение устаревших состояний и риски

В сети Lightning узлы обновляют обязательства по каналам при изменении балансов. Если один из участников публикует отменённое обязательство, другой может наложить штраф. Однако в предыдущих версиях Core Lightning, если при открытии канала не был указан скрипт завершения (shutdown script), узел мог указать скрипт выхода из отменённого обязательства в сообщении о закрытии. Это позволяло легитимно распространять устаревшее состояние, и штраф не применялся. Уязвимость возникала из-за специфики архитектуры управления каналами в программном обеспечении.

Обновления и рекомендации для пользователей Docker

Проблема была исправлена в версии v26.06.7, но некоторые предыдущие Docker-образы не содержали всех исправлений. Поэтому команда Core Lightning 22 сентября выпустила дополнительное обновление v26.06.8 с усилением безопасности. Пользователям и операторам рекомендуется обновить ПО до последней версии. Владельцам Docker-контейнеров следует проверить контрольные суммы образов и при необходимости загрузить их заново.

Ключевые моменты разработки

Изменения были включены в основную ветку разработки 15 сентября через pull request 9509. Обновления не влияют на правила основного блокчейна Bitcoin, но повышают безопасность пользователей Core Lightning.

Влияние на пользователей и выводы

Обновления закрывают критические дыры в управлении каналами, обеспечивая надежность операций. Уязвимость проявлялась только в определённых конфигурациях каналов. Пользователям важно своевременно обновлять программное обеспечение и Docker-образы, чтобы минимизировать риски и повысить безопасность своих транзакций.