Разработчики Eclair выпустили второе обновление безопасности за пять дней и настоятельно рекомендуют операторам Lightning-узлов установить исправления. Версия 0.14.5 вышла 20 октября: некоторые устранённые проблемы, по предупреждению ACINQ, могут использовать вредоносные участники сети.
Eclair — одна из программных реализаций Lightning Network, платёжной сети поверх Bitcoin. Она позволяет запускать узлы и работать с каналами, через которые проходят переводы BTC. Предупреждение относится к этому программному обеспечению; данных о компрометации всей Lightning Network или основного блокчейна Bitcoin разработчики не приводят.
В объявлении Eclair 0.14.5 ACINQ благодарит исследователей Nuhiat-Arefin и mptfire за ответственное раскрытие информации. Подробные механизмы новых уязвимостей и полный перечень затронутых версий в опубликованных заметках не указаны. Сообщений об успешных атаках или потерях BTC там также нет.
Предыдущий патч, Eclair 0.14.4 от 15 октября, уже содержал исправления безопасности, преимущественно связанные с Project Loupe. Одно из заметных изменений касалось административного API — интерфейса для управления узлом.
При определённых условиях браузер мог прикреплять сохранённые данные HTTP-аутентификации к межсайтовому запросу. Вредоносная страница, открытая оператором, получала возможность сформировать команду к API. Для отправки такого запроса могло хватить обычной HTML-формы; читать ответ атакующему не требовалось.
Начиная с 0.14.4 API отклоняет запросы с заголовком Origin, закрывая этот сценарий межсайтовой подделки запросов — CSRF. Работа командных инструментов без этого заголовка сохраняется, а браузерным панелям управления теперь нужен промежуточный серверный компонент. В документации API Eclair отдельно подчёркивается, что интерфейс управления нельзя открывать для публичного интернета.
Приписывать новой версии 0.14.5 именно браузерное исправление неправильно: оно появилось в предыдущем выпуске. Связь новых проблем с этим механизмом ACINQ не раскрыла.
Закрывать платёжные каналы ради обновления не требуется. Инструкция разработчиков предусматривает остановку Eclair, установку новой версии и повторный запуск. На странице релиза также приведён порядок проверки цифровой подписи и контрольных сумм SHA-256 загружаемых файлов.
Ранее отдельного исправления потребовала ошибка резервных копий Lightning-каналов в Electrum. Это другой дефект другого приложения. Для операторов Eclair текущий практический шаг — установить 0.14.5 и проверить совместимость собственных инструментов управления с ограничением API, введённым в 0.14.4.