Обновление LND закрывает путь атаки, но уязвимость ядра Linux остаётся открытой

Разработчики LND — ПО для работы узлов платёжной сети Bitcoin Lightning — 30 октября выпустили версии v0.20.7-beta и v0.21.6-beta. Обновление отключает слушатели Multipath TCP (MPTCP) по умолчанию, что закрывает продемонстрированный путь атаки через CVE-2026-98432 в приложении. Однако сама уязвимость ядра Linux никуда не исчезает.

Дефект связан с использованием освобождённой памяти при обработке IPv4 TCP-соединений в Linux и позволяет злоумышленнику выполнять код на уязвимом хосте. Ubuntu присвоила багу критический балл CVSS 3.1 — 9.8 из 10.

Проблема шире, чем просто LND. Начиная с Go 1.24 MPTCP-слушатели включены по умолчанию, и LND 0.21.x открывал их на портах для связи с другими узлами, а также на gRPC- и REST-интерфейсах. Если на том же хосте работает другой сервис с открытым MPTCP-слушателем, путь атаки сохраняется даже после обновления LND. Команда Go Security предупреждает: отключать MPTCP силами отдельных программ — ненадёжно, один оставшийся слушатель возвращает систему в уязвимое состояние.

Рекомендации мейнтейнеров LND — три шага:

• обновить LND до свежей версии;
• отключить MPTCP на хосте командой sudo sysctl -w net.mptcp.enabled=0 с сохранением настройки после перезагрузки;
• установить пропатченное ядро, как только дистрибутив его предоставит, и перезагрузиться.

Операторы, которые не могут сразу обновить LND, могут запустить существующий бинарник с флагом GODEBUG=multipathtcp=0. Для Docker-развёртываний настройка действует отдельно в каждом сетевом пространстве имён — контейнер требует индивидуальной проверки.

Доступность патча зависит от конкретного пакета ядра. По данным трекера Ubuntu на 9 ноября, стандартный пакет linux для Ubuntu 24.04 LTS всё ещё помечен как уязвимый — работа идёт над версией 6.8.0-149.149. Для Ubuntu 22.04 LTS статус аналогичен: 5.15.0-203.213. В то же время стандартный пакет Ubuntu 26.10 уже исправлен в версии 7.3.0-10.10. Canonical в advisory от 2 ноября сообщила, что исправления доступны в репозитории -proposed для самостоятельного тестирования, тогда как квалификационные проверки продолжаются. Рассылка Ubuntu за 1–7 ноября добавила, что часть релизов, включая 24.04, перешла в -updates.

Canonical советует проверить работающее ядро командой uname -r и после установки обновления перезагрузить машину. Обновлённый бинарник LND и установленный пакет ядра — разные вещи: чтобы закрыть уязвимость полностью, нужно ещё и загрузиться с пропатченным ядром.

В advisory речь идёт о продемонстрированном эксплойте, а не о подтверждённых атаках на узлы LND или краже биткоинов. Ранее CryptoSlate описывал последствия того же CVE для валидаторов Solana. Исправления Core Lightning, о которых сообщалось 6 ноября, касаются других уязвимостей приложения и не связаны с этим дефектом ядра.