Две DoS-уязвимости в открытии каналов Eclair исправлены в v0.14.1
В Eclair v0.14.0 и ранее найдены две проблемы в потоке открытия каналов. Первая (LNF-2026-0003) — гонка при проверке дублирующегося temporary_channel_id: поток одинаковых open_channel порождает осиротевшие акторы каналов и утечку памяти порядка мегабайта в секунду, что приводит к OOM-падению JVM или к зависанию на сборке мусора и уходу узла из сети. Вторая обходит ограничитель незавершённых каналов за счёт переиспользования финального id канала как временного: одно соединение без затрат on-chain за примерно 48 минут исчерпало 4 ГБ heap, а поскольку каналы сохраняются на диск, узел падал снова при каждом перезапуске до ручной чистки или увеличения heap. Атаки требуют лишь соединения с узлом; свидетельств эксплуатации в сети в сообщении нет.
Обновите Eclair до v0.14.1 или новее для защиты от описанных DoS-атак. Источник описывает повторные падения при запуске из-за сохранённых незавершённых каналов, но не даёт в этом сообщении безопасной процедуры очистки базы. Вручную удалять записи каналов по этому краткому анонсу не следует. Подробности раскрытия — по ссылкам в посте.
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.