Eclair v0.14.4 publié pour bloquer les attaques de navigateur sur les nœuds Lightning

Eclair, le logiciel de nœud Bitcoin Lightning d'ACINQ, a publié la version 0.14.4 le 15 octobre pour empêcher les pages web malveillantes d'émettre des commandes à un nœud d'opérateur via leur navigateur. La vulnérabilité provient d'une API Eclair activée accessible via le navigateur, avec une authentification HTTP Basic mise en cache. Cela permet à une page web malveillante de soumettre un formulaire HTML simple à l'API du nœud, en attachant automatiquement les identifiants enregistrés. Bien que l'attaquant ne puisse pas lire la réponse, la commande atteint tout de même le nœud. La mise à jour introduit une réponse HTTP 403 pour les requêtes avec un en-tête Origin, affectant à la fois les interfaces de navigateur malveillantes et légitimes. Ces interfaces nécessitent désormais un backend intermédiaire pour communiquer avec Eclair. L'accès en ligne de commande reste inchangé car des outils comme curl et eclair-cli n'envoient pas l'en-tête Origin. La mise à jour souligne l'importance de l'authentification et des restrictions réseau, car les clients non-navigateur peuvent omettre l'en-tête. La correction du navigateur a été fusionnée le 15 septembre et incluse dans la v0.14.4, qui traite également des problèmes de frais de financement et de signataire. Les opérateurs sont conseillés de mettre à jour sans fermer leurs canaux Lightning.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.