Bitcoinインフラ企業Blockstreamが保守するLightning Network実装であるCore Lightningは、ソフトウェア内で複数のセキュリティ脆弱性が確認されたことを受け、ノード運営者に version 26.06.7 へのアップグレードを呼びかけた。

8月28日に出された緊急リリースは、人工知能の支援で生成されたセキュリティ報告を含む10日間のレビューで報告された問題に対応するもの。開発者は複数の指摘を確認し、修正を適用した一方で、技術的詳細は2週間の公開猶予の下で非公開にしている。この種の自動生成レポートは誤検知を含むことがあるため、通常は人手による確認が必要であり、その検証がプロセスの中心となる。

C言語で書かれ、以前は c-lightning として知られていた Core Lightning は、Lightning Labs の LND や ACINQ の Eclair と並ぶ、Lightning プロトコルの主要実装の1つ。Bitcoin の上に構築された第2層の決済インフラである Lightning Network ノードを運用する人々に利用されており、オンチェーンで確定する前にオフチェーンで支払いを処理することで、より速く低コストな取引を可能にする。開発者は脆弱性の全容を明らかにしておらず、潜在的な影響は不透明なままだ。

運営者に迫る期限

この公開猶予は、研究者が9月中旬に詳細を公開する前に、運営者が修正を適用する時間を確保するためのもの。この種の協調開示の期間はソフトウェアセキュリティでは一般的であり、最終的な詳細公開と、利用者が先に修正する必要性とのバランスを取っている。未修正のノードは、脆弱性が公開された後により大きなリスクに直面する可能性がある。

Core Lightning は version 26.06.7 のインストール時に署名済みバイナリの使用を推奨している。すぐにアップグレードできない運営者は、–offline フラグを使うことで Lightning Network に接続せずにノードを起動し、更新完了まで監視を続けることができる。

旧バージョンはサポート終了

26.04 以前のバージョンは、もはやセキュリティ修正を受けない。今回の最新リリースは、7月22日に公開された version 26.06.6 に続くものだ。

今年初めには、開発者が version 26.04 と 26.06rc2 に影響するサービス拒否（DoS）脆弱性を修正している。自動化ツールによって広く使われるソフトウェアの弱点が見つけやすくなっており、今回の発見は Lightning Network のセキュリティに対する継続的な注視を強めるものとなっている。AI支援の監査はオープンソースのセキュリティ分野で広がっており、ファジングやコードレビューのプラットフォームにも言語モデルの要素が組み込まれている。今回のレビューもその流れに沿うもので、機械が探索範囲を広げ、保守担当者が妥当性を確認する。公開猶予が9月中旬に明けた際に明らかになる技術的詳細が、今回の調査で何が見つかったのかを示すことになる。

Source: CryptoNewsNet