Core Lightning confirme plusieurs vulnérabilités et prépare une mise à jour de sécurité

Core Lightning, une implémentation open source du réseau Lightning de Bitcoin, a confirmé plusieurs vulnérabilités et exhorté les opérateurs de nœuds à installer une prochaine mise à jour de sécurité.

Jeudi, Core Lightning a déclaré qu’il évaluait un volume important de rapports d’« expositions et vulnérabilités courantes » (CVE) générés par l’IA et avait constaté que plusieurs étaient réels. Le projet a demandé aux opérateurs de ne pas arrêter complètement leurs nœuds, mais de les redémarrer avec « --offline », ce qui empêche les paiements d’entrer dans le nœud, d’en sortir ou d’y être acheminés.

Dans un message ultérieur, Core Lightning a précisé que la mise à niveau constituait sa principale recommandation, tandis que le redémarrage avec --offline était une solution alternative pour les opérateurs qui n’avaient pas effectué la mise à niveau. 

Ces consignes offrent aux opérateurs une solution de remplacement pour protéger leurs nœuds jusqu’à la mise à niveau, sans arrêter complètement le logiciel sous-jacent. Core Lightning n’a pas révélé la nature ou la gravité des vulnérabilités, n’a pas publié d’identifiants CVE et n’a signalé aucune exploitation ni perte connexe.

Core Lightning a déclaré que le maintien du démon actif lui permettait de suivre la blockchain Bitcoin et de réagir si une contrepartie fermait de force un canal, ce qu’un nœud arrêté ne peut pas faire. Il a été conseillé aux opérateurs utilisant --offline de le retirer après la mise à niveau, faute de quoi leurs nœuds resteraient déconnectés.

Les failles nouvellement confirmées sont distinctes des vulnérabilités de déni de service à distance révélées en mai et en juillet, qui avaient été corrigées dans des versions antérieures. 

À lire aussi : StarkWare teste une transaction Bitcoin résistante aux attaques quantiques sur le réseau principal