Core Lightning 漏洞導致節點升級後持續當機,直到刪除儲存的觸發記錄為止

比特幣閃電支付網路軟體 Core Lightning 的一個已揭露漏洞,可能導致節點在每次重新啟動時持續當機,即使已完成升級也一樣,原因在於引發當機的惡意公告仍儲存在磁碟上。

研究人員 Nishant Bansal 於 10 月 24 日揭露此問題,指出 v25.02 至 v26.04 版本受影響。一旦該公告被儲存,每次重新啟動都會重新載入相同的觸發記錄,Bansal 表示營運者必須手動刪除該問題記錄才能恢復節點。

追蹤比特幣工程發展的技術通訊 Bitcoin Optech 於 10 月 30 日點出此問題,但預防性修補程式其實已在數個月前完成。Core Lightning 於 4 月 24 日合併了拉取請求 #9082,並於 4 月 25 日隨 v26.04.1 版本推出修復。因此,10 月的揭露所解釋的漏洞,其預防性修復自 4 月起便已可用。

為何修補程式無法清除已儲存的觸發記錄

通道公告讓節點得知閃電路由圖中的連線資訊。付款會沿著這些記錄的連線跳轉,因此每個路由節點都依賴一份準確的路由圖副本來移動資金。在此案例中,一則精心構造的公告將同一個先前未知的節點同時列為兩個端點。存在漏洞的軟體接受了該公告,將其寫入磁碟上的 gossip_store,然後載入路由圖。

路由圖接著嘗試重複插入該節點。防止重複的保護機制中止了處理這些公告的 gossipd 元件,而 Core Lightning 將該失敗視為整個節點的致命錯誤。

該修補程式會在接受公告前檢查端點順序。要求第一個節點 ID 必須嚴格小於第二個,也會拒絕相同的 ID,從一開始就防止格式錯誤的輸入被接受並儲存。

不過,該驗證僅適用於新傳入的公告。啟動時仍會讀取 gossip_store 中已存在的記錄,而升級並不會刪除當機前已儲存的惡意記錄。這正是 Bansal 要求手動從 gossip_store 刪除惡意記錄以恢復節點的原因。

僅清理記錄仍會使存在漏洞的安裝再次面臨當機風險:根據揭露內容,只要攻擊者控制的資金輸出——即開啟通道的鏈上輸出——尚未花費,攻擊者就能重新發送相同的公告。

中繼暴露、升級建議與停機風險

Bitcoin Optech 指出,v25.02 之前的 Core Lightning 版本可以接受並轉發此類公告而不會自行當機。因此攻擊者無需與每個存在漏洞的節點建立直接連線,因為被轉發的公告會繼續傳遞到每個節點的對等節點,並可能將格式錯誤的記錄帶入網路更深處。

對於選擇現在升級的營運者,v26.04.1 是第一個包含此缺陷修復的版本。截至 11 月 2 日,該專案的最新版本為 10 月 7 日發布的 v26.06.9,維護者強烈建議安裝。

停機除了服務無法使用之外,還帶來付款監控風險。在閃電網路中,執行通道規則的責任落在節點營運者身上。Bansal 警告,離線節點無法監控鏈上已撤銷的通道狀態,或必須在到期前提出的限時付款申領。錯過這些事件可能使資金面臨風險。

原始報導:CryptoSlate