Випущено Eclair v0.14.4 для блокування атак браузера на вузли Lightning

Eclair, програмне забезпечення вузла Bitcoin Lightning від ACINQ, випустило версію 0.14.4 15 жовтня, щоб запобігти зловмисним веб-сторінкам, які можуть надсилати команди до вузла оператора через їхній браузер. Уразливість виникає через активований API Eclair, доступний через браузер, з кешованою базовою аутентифікацією HTTP. Це дозволяє зловмисній веб-сторінці надсилати просту HTML-форму до API вузла, автоматично прикріплюючи збережені облікові дані. Хоча зловмисник не може прочитати відповідь, команда все ж досягає вузла. Оновлення вводить відповідь HTTP 403 для запитів з заголовком Origin, що впливає як на зловмисні, так і на законні інтерфейси браузера. Ці інтерфейси тепер вимагають проміжного бекенду для зв'язку з Eclair. Доступ через командний рядок залишається незмінним, оскільки такі інструменти, як curl та eclair-cli, не надсилають заголовок Origin. Оновлення підкреслює важливість аутентифікації та обмежень мережі, оскільки клієнти, що не використовують браузер, можуть пропустити заголовок. Виправлення для браузера було об'єднано 15 вересня і включено в v0.14.4, яке також вирішує проблеми з фінансуванням та підписувачами. Операторам рекомендується оновити програмне забезпечення, не закриваючи свої канали Lightning.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.