Bitcoinライトニング決済ノードの運用に使われる主要ソフトウェア実装の一つであるCore Lightningが、一連のセキュリティ修正を含むバージョン26.06.10をリリースし、開発メンテナーはすべてのユーザーに可能な限り早いアップグレードを呼びかけています。今回のアップデートでは、ソフトウェアのパッチに加えて、運営者へもう一つのタスクが課されています。それは、ノード上でリモートコマンドを許可する認証情報を見直すことであり、メンテナーはこれを新バージョンのインストールとは別の作業だと説明しています。アップデートは、リモートコマンドを扱うプラグインの強化と、ノードがチャネル開設や支払い条件を評価する方法の変更を組み合わせたものです。

今回で3回連続となるポイントリリースが、エンバーゴ期間なしで公開されました。バージョン26.06.8および26.06.9も同じ方式を採り、修正は即座に公開されています。それらのリリースと同様に、メンテナーは今回もセキュリティ修正に紐づくテストを非公開としています。リリースノートによれば、これにより修正内容を実用可能なエクスプロイトへ変換することが難しくなり、ユーザーはアップグレードのための時間をより多く確保できます。この開示モデルは、運営者にとってのリスクも明確にしています。リリースが公開されれば、それが対処する弱点も公開されるため、アップデートが遅れているノードは、文書化された脆弱性を抱えたソフトウェアを動かしていることになります。

アップグレード手順に認証情報の見直しを追加

ルーンとcommandoは、今回のアップデートにおけるセキュリティ対策の中心です。commandoは直接接続されたピアがノードにコマンドの実行を依頼できるようにするもので、ピアは通常、認証情報であるルーンを必要とします。

今回のアップデートは、パラメータ名に重複や句読点のバリエーションを使うことでルーンのパラメータ名制限を回避する手法を塞ぎました。また、失敗したコマンドの後にコマンドIDを再利用することで発生するcommandoのクラッシュも修正されています。過大なサイズのルーンは現在、そのまま拒否されます。以前は、ソフトウェアがそのデコードに二次時間を費やす可能性がありました。

メンテナーは、commando経由で使用する各ルーンを、そのアプリのノードIDに紐付けることを推奨しています。このid制限により、そのルーンは他の場所から使用できなくなります。運営者はまた、blacklistruneコマンドを使って、出自を確認できないルーンをすべてブラックリストに登録し、その後、より厳しい制限を付けた新しいルーンを発行するよう指示されています。これらの措置を総合すると、ノード上でリモートコマンドを実行できるすべての認証情報の監査、すなわち説明のつかないルーンを代替発行の前に失効させる作業に相当します。

チャネルと支払いの修正

新バージョンでは、デュアルファンディングによるチャネル開設およびスプライシングの際に、ピアのトランザクション署名を検証します。これは、LightningプロトコルのBOLT 2仕様に沿ったものであり、 changelogによればチャネルの確立と通常のピアツーピア動作をカバーしています。

もう一つの修正は、HTLCとして知られる条件付き支払いコントラクトに関するものです。削除されたばかりのHTLCが、支払いハッシュ、金額、有効期限を共有する有効なHTLCと混同され、ノードが有効な支払いを失敗させる一方で、ピアはその支払いを請求できる可能性がありました。

チャネル開設の処理も厳格化されています。ピアが5,000 satoshiを超えるダストリミット(出力がダストとして扱われる閾値)を提案した場合、ノードはチャネル開設を拒否するようになりました。 changelogによれば、以前の動作では、強制閉鎖の際にピアがノードの残高を手数料として削り取ることが可能でした。デュアルファンディングによる開設では、ピアのダストリミットがチャネルリザーブを超える場合も拒否されます。また、v2のゼロ確認チャネル開設(ファンディングトランザクションが承認される前にチャネルが有効になるもの)は、運営者がそのピアからの開設を許可するよう設定していない限り拒否されます。デュアルファンディングは実験的な機能であり、メンテナーは信頼できないピアとのゼロ確認チャネルを避けるよう推奨しています。

その他の変更点として、プラグインのフックが失敗した場合に、クラッシュやハングアップの代わりに安全なデフォルト応答を返すようになりました。スプライスの手数料引き上げは、Eclairなどのピアが必要とする、少なくとも従来の手数料レートの25/24を使用するようになりました。開発ビルドを実行したことのあるノードは、データベーススキーマが新しいため、26.06.xシリーズへダウングレードできません。このリリースには、Ubuntu 22.04、24.04、26.04向けの再現可能なバイナリと、Dockerイメージが含まれています。

開示とリリース時期

今回のリリースで修正された脆弱性は、The Bitcoin Red Team、Matt Morehouse、Niklas Göggeを含む約20の実名の情報提供者によって報告されました。匿名を希望した情報提供者もいました。

GitHubではこのバージョンのリリース日が11月4日と記載されている一方、タグ付きchangelogでは11月5日となっています。このアップデートは、11月2日に開示された別の保存トリガークラッシュに続くものです。報告時点で、ビットコインは約76,002ドルで取引されており、24時間で5.29%下落していました。