Выпущена версия Eclair v0.14.4 для защиты узлов Lightning от атак браузеров

Eclair, программное обеспечение узла Bitcoin Lightning от ACINQ, выпустил версию 0.14.4 15 октября, чтобы предотвратить выполнение злонамеренными веб-страницами команд к узлу оператора через их браузер. Уязвимость возникает из-за включенного API Eclair, доступного через браузер, с кэшированной базовой аутентификацией HTTP. Это позволяет злонамеренной веб-странице отправлять простую HTML-форму к API узла, автоматически прикрепляя сохраненные учетные данные. Хотя злоумышленник не может прочитать ответ, команда все равно достигает узла. Обновление вводит ответ HTTP 403 для запросов с заголовком Origin, что затрагивает как злонамеренные, так и законные интерфейсы браузера. Эти интерфейсы теперь требуют промежуточный бэкенд для связи с Eclair. Доступ через командную строку остается неизменным, так как такие инструменты, как curl и eclair-cli, не отправляют заголовок Origin. Обновление подчеркивает важность аутентификации и сетевых ограничений, так как клиенты, не использующие браузер, могут опустить заголовок. Исправление для браузера было объединено 15 сентября и включено в версию 0.14.4, которая также решает проблемы с финансированием и подписанием. Операторам рекомендуется обновиться, не закрывая свои каналы Lightning.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.