Eclair v0.14.4がLightningノードへのブラウザ攻撃を防ぐためにリリース

Eclairは、ACINQのBitcoin Lightningノードソフトウェアであり、10月15日にバージョン0.14.4をリリースしました。このアップデートは、悪意のあるウェブページがブラウザを通じてオペレーターのノードにコマンドを発行するのを防ぐことを目的としています。この脆弱性は、ブラウザを介してアクセス可能なEclair APIが有効になっていることから生じており、キャッシュされたHTTP Basic認証が含まれています。これにより、悪意のあるウェブページがノードのAPIに対してプレーンなHTMLフォームを送信し、保存された認証情報を自動的に添付することができます。攻撃者は応答を読むことはできませんが、コマンドはノードに届きます。このアップデートでは、Originヘッダーを持つリクエストに対してHTTP 403応答が導入され、悪意のあるインターフェースと正当なブラウザインターフェースの両方に影響を与えます。これらのインターフェースは、Eclairと通信するために中間バックエンドを必要とします。コマンドラインアクセスは影響を受けず、curlやeclair-cliなどのツールはOriginヘッダーを送信しません。このアップデートは、認証とネットワーク制限の重要性を強調しており、非ブラウザクライアントはヘッダーを省略できます。ブラウザの修正は9月15日にマージされ、v0.14.4に含まれています。このバージョンは、資金手数料や署名者の問題にも対処しています。オペレーターは、Lightningチャネルを閉じることなくアップグレードすることをお勧めします。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。