Core Lightning выпустил 26.06.10 с исправлениями уязвимостей в dual funding, splicing, onchaind, gossip, connectd, runes и hsmd
Проект сообщает, что точечный релиз 26.06.10 закрывает уязвимости, сообщённые ответственно рядом исследователей, и настоятельно рекомендует обновляться как можно скорее. Среди исправленного — проверки подписи в peer-овых tx_signatures при dual funding и splicing, разрешение HTLC в onchaind, лимиты ресурсов gossip, connectd, runes и commando, хуки плагинов и hsmd, а также ряд исправлений удалённых крашей. Embargo нет, релиз и фиксы доступны сразу; тесты к security-фиксам временно не публикуются, чтобы затруднить быстрое превращение фиксов в эксплойты. Выпущены воспроизводимые сборки amd64, arm64 и armv7 (Ubuntu 22.04/24.04/26.04, amd64 также Fedora 40) и мультиплатформенные Docker-образы.
Операторам узлов Core Lightning без этих исправлений: обновитесь до 26.06.10 как можно скорее. Перед установкой проверьте подписи манифеста и контрольные суммы по инструкции релиза, передавая оба файла; для ARM-архивов — отдельные файлы SHA256SUMS и их подписи. Затем просмотрите выданные на узле runes: используемые через commando привяжите к узлу ограничением id, а неучтённые занесите в blacklistrune и перевыпустите с более строгими ограничениями. Узлы, работавшие на master-сборках, откатиться на 26.06.x не смогут — схема БД новее. Зеро-conf каналы с недоверенными пирами проект не рекомендует.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.