Eclair v0.14.4 版本發布以阻止瀏覽器對 Lightning 節點的攻擊

Eclair，ACINQ 的比特幣 Lightning 節點軟體，於 10 月 15 日發布了 0.14.4 版本，以防止惡意網頁通過瀏覽器向操作員的節點發出命令。這一漏洞源於啟用的 Eclair API 可通過瀏覽器訪問，並且使用了緩存的 HTTP 基本身份驗證。這使得惡意網頁能夠向節點的 API 提交普通的 HTML 表單，自動附加已保存的憑證。儘管攻擊者無法讀取響應，但命令仍然能夠到達節點。此次更新為帶有 Origin 標頭的請求引入了 HTTP 403 響應，影響了惡意和合法的瀏覽器介面。這些介面現在需要一個中介後端來與 Eclair 通信。命令行訪問不受影響，因為像 curl 和 eclair-cli 這樣的工具不會發送 Origin 標頭。此次更新強調了身份驗證和網絡限制的重要性，因為非瀏覽器客戶端可以省略該標頭。瀏覽器修復於 9 月 15 日合併並包含在 v0.14.4 中，該版本還解決了資金費用和簽署者問題。建議操作員在不關閉其 Lightning 通道的情況下進行升級。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。