Core Lightning, de implementatie van het Lightning Network die wordt onderhouden door het Bitcoin-infrastructuurbedrijf Blockstream, heeft node-operators opgeroepen om te upgraden naar versie 26.06.7 nadat ontwikkelaars meerdere beveiligingskwetsbaarheden in de software hadden geïdentificeerd.

De noodrelease, uitgebracht op 28 augustus, pakt problemen aan die naar voren kwamen tijdens een 10-daagse review met beveiligingsrapporten die met behulp van kunstmatige intelligentie waren gegenereerd. Ontwikkelaars verifieerden meerdere bevindingen en brachten fixes uit, terwijl technische details onder een embargo van twee weken vertrouwelijk bleven. Dergelijke geautomatiseerde rapporten vereisen doorgaans menselijke controle omdat ze valse positieven kunnen bevatten, waardoor verificatie centraal blijft staan in het proces.

Core Lightning, geschreven in C en voorheen bekend als c-lightning, is een van de belangrijkste implementaties van het Lightning-protocol, naast LND van Lightning Labs en Eclair van ACINQ. Het wordt gebruikt door operators die Lightning Network-nodes draaien, de second-layer betalingsinfrastructuur bovenop Bitcoin die betalingen off-chain verwerkt voor snellere en goedkopere transacties voordat ze op de blockchain worden afgewikkeld. Ontwikkelaars hebben de volledige aard van de kwetsbaarheden niet bekendgemaakt, waardoor de mogelijke impact onduidelijk blijft.

Operators staan voor een deadline

Het embargo is bedoeld om operators tijd te geven de fixes te installeren voordat onderzoekers de details halverwege september publiceren. Gecoördineerde openbaarmakingsvensters van dit type zijn standaardpraktijk in softwarebeveiliging, waarbij de uiteindelijke publicatie van details wordt afgewogen tegen de noodzaak voor gebruikers om eerst te patchen. Nodes die niet worden bijgewerkt, kunnen meer risico lopen zodra de kwetsbaarheden openbaar worden.

Core Lightning raadt aan om ondertekende binaries te gebruiken bij het installeren van versie 26.06.7. Operators die niet direct kunnen upgraden, kunnen de –offline-vlag gebruiken, waarmee de node wordt gestart zonder verbinding te maken met het Lightning Network, om hun nodes te monitoren totdat de update is voltooid.

Oude versies verliezen ondersteuning

Versies 26.04 en ouder ontvangen geen beveiligingsfixes meer. De nieuwste release volgt op versie 26.06.6, die op 22 juli werd gepubliceerd. Eerder dit jaar verholpen ontwikkelaars denial-of-servicekwetsbaarheden die versies 26.04 en 26.06rc2 troffen.

De nieuwste bevindingen vergroten de aanhoudende aandacht voor de beveiliging van het Lightning Network, nu geautomatiseerde tools het eenvoudiger maken om zwakheden in veelgebruikte software te identificeren. AI-ondersteunde audits verspreiden zich in de open-sourcebeveiliging, waarbij fuzzing- en code-reviewplatforms componenten voor taalmodellen toevoegen, en deze review volgt dat patroon: machines verbreden het zoekbereik, beheerders bevestigen wat overeind blijft. De volledige technische details, die volgen wanneer het embargo halverwege september afloopt, zullen laten zien wat het proces heeft opgeleverd.

Bron: CryptoNewsNet