Уязвимость в Core Lightning приводит к повторным сбоям узлов после обновления

Исследователь Нишант Бансал 24 октября опубликовал данные об уязвимости в Core Lightning — программном обеспечении для платёжной сети Lightning на базе Bitcoin. Проблема затрагивает версии с v25.02 по v26.04. Из-за неё узел может крашиться при каждом перезапуске даже после обновления: вредоносное объявление, вызвавшее сбой, остаётся на диске.

Уязвимость связана с обработкой channel announcements — сообщений, которые описывают узлам структуру маршрутизации в сети Lightning. В уязвимых версиях узел принимал объявление, где один и тот же ранее неизвестный узел указывался сразу на обоих концах соединения, и записывал его в gossip_store на диске. При попытке добавить такой узел в граф маршрутизации дважды срабатывала защита от дублей, которая аварийно завершала работу gossipd — компонента, отвечающего за обработку объявлений. Core Lightning трактовало этот сбой как фатальный для всего узла.

Патч объединили в PR #9082 24 апреля, а выпустили в составе v26.04.1 25 апреля. Он проверяет порядок идентификаторов узлов перед принятием объявления и отклоняет некорректные записи. Но, по словам Бансала, уже сохранённые вредоносные записи патч не удаляет: при перезапуске узел снова читает их из gossip_store. Чтобы восстановить работу, оператору нужно вручную удалить проблемную запись.

Bitcoin Optech обратил внимание на проблему 30 октября и отметил, что исправление было доступно уже несколько месяцев. По данным Optech, версии Core Lightning до v25.02 могли принимать и пересылать такие объявления без сбоев, поэтому злоумышленнику не требовалось прямое подключение к каждому уязвимому узлу.

На 2 ноября актуальной версией остаётся v26.06.9, выпущенная 7 октября — именно её рекомендуют устанавливать разработчики. Бансал предупреждает: простой узла несёт дополнительный риск, потому что узел не может отслеживать блокчейн на предмет отозванных состояний каналов или ограниченных по времени платёжных требований, а это угрожает средствам пользователей.