Две DoS-уязвимости в открытии каналов Eclair исправлены в v0.14.1
В Eclair v0.14.0 и ранее раскрыты две уязвимости в потоке открытия каналов. Первая (LNF-2026-0003) — гонка при проверке дублирующегося temporary_channel_id: конвейер одинаковых open_channel порождает осиротевшие акторы каналов, утечка около 1 МБ в секунду приводит к OOM в JVM или к спирали сборки мусора, которая выводит узел из сети. Вторая — обход ограничителя незафиксированных каналов за счёт переиспользования финального id канала как временного: одно соединение без затрат on-chain исчерпало 4 ГБ heap примерно за 48 минут, а поскольку каналы сохраняются на диск, узел падал снова при каждом перезапуске, пока оператор не увеличивал heap или не удалял записи вручную. Затрагивает операторов лайтнинг-узлов на Eclair.
Обновите Eclair до v0.14.1 или новее для защиты от описанных DoS-атак. Источник описывает повторные падения при запуске из-за сохранённых незавершённых каналов, но не даёт в этом сообщении безопасной процедуры очистки базы. Вручную удалять записи каналов по этому краткому анонсу не следует. Подробности раскрытия — по ссылкам в посте.
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.