Eclair v0.14.4发布以防止浏览器攻击Lightning节点

Eclair，ACINQ的比特币Lightning节点软件，于10月15日发布了0.14.4版本，以防止恶意网页通过浏览器向操作员的节点发出命令。该漏洞源于通过浏览器可访问的启用Eclair API，并且使用了缓存的HTTP基本认证。这允许恶意网页向节点的API提交一个普通的HTML表单，自动附加保存的凭证。尽管攻击者无法读取响应，但命令仍然会到达节点。此次更新为带有Origin头的请求引入了HTTP 403响应，影响了恶意和合法的浏览器接口。这些接口现在需要一个中介后端与Eclair进行通信。命令行访问不受影响，因为像curl和eclair-cli这样的工具不会发送Origin头。此次更新强调了认证和网络限制的重要性，因为非浏览器客户端可以省略该头。浏览器修复于9月15日合并，并包含在v0.14.4中，该版本还解决了资金费用和签名者问题。建议操作员在不关闭其Lightning通道的情况下进行升级。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。