Core Lightning v26.06.9 Tambal Celah Keamanan dan Atasi Keterlambatan Pembayaran

Core Lightning, perangkat lunak untuk menjalankan node pembayaran Bitcoin Lightning, merilis versi v26.06.9 yang membawa perbaikan keamanan serta memperbaiki regresi yang dapat memperlambat lalu lintas kanal pada node sibuk yang memakai v26.06.8. Di GitHub, rilis ini tercatat dipublikasikan pada 7 Oktober, sementara changelog ber-versi menampilkan tanggal 6 Oktober. Pembaruan ini memberi operator yang sempat memasang v26.06.8 dasar pertimbangan baru untuk melakukan upgrade, setelah temuan cacat revokedchannel penalty pada 27 September yang telah diperbaiki di v26.06.7. Patch terbaru menambahkan perbaikan lanjutan sekaligus menuntaskan regresi yang muncul setelah rilis tersebut. Dalam v26.06.8, pesan-pesan rutin seperti gossip, ping, dan onion ikut dihitung ke dalam anggaran CPU yang seharusnya dialokasikan untuk gossip queries. Menurut para maintainer, pada node yang padat aktivitas, pencatatan ini bisa membuat peer ter-throttle dan memicu keterlambatan lalu lintas kanal. Di v26.06.9, anggaran tersebut kini dicadangkan khusus untuk gossip queries, sehingga pesan biasa tidak lagi menggerusnya dan penyebab throttling yang terdokumentasi itu dihilangkan. Regresi yang dibahas maintainer terutama berdampak pada node sibuk yang menjalankan Core Lightning v26.06.8. Changelog juga mencatat perbaikan untuk kontrak pembayaran (HTLC) yang mencapai tenggat saat kanal sedang dalam proses shutdown. Mulai v26.06.9, sistem akan melakukan force close kanal pada kondisi ini, sehingga dana yang diteruskan tidak hilang bila pembayaran baru terpenuhi setelah batas waktu. Bagi operator yang melakukan forwarding pembayaran, ini menutup celah perlindungan dana saat tenggat pembayaran bertabrakan dengan shutdown kanal. Selain itu, v26.06.9 memperbaiki regresi message budget dan menambah pengaman terkait shutdown, perizinan, serta konfigurasi. Sejumlah perbaikan lain memperketat batasan pada runes yang dipakai untuk mengotorisasi pemanggilan, sehingga rune yang dibatasi tidak lagi dapat membuat rune tanpa pembatasan atau menampilkan ulang rune yang telah masuk daftar hitam. Pembatasan pada metode pembuatan dan pemblokiran terkait juga kini mencakup alias invokerune dan destroyrune. Perintah listconfigs kini menyamarkan beberapa nilai sensitif, termasuk informasi pemulihan dan kata sandi Bitcoin RPC, untuk semua pemanggil. Perintah setconfig menutup jalur yang memungkinkan penyisipan baris konfigurasi melalui nilai opsi persisten. Perbaikan tersedia segera. Maintainer untuk sementara menahan pengujian keamanan agar pengembangan eksploit lebih sulit dan memberi operator waktu lebih untuk melakukan upgrade. Node yang pernah menjalankan branch master tidak dapat downgrade ke rilis 26.06.x karena skema basis datanya lebih baru. Rilis ini juga kembali menegaskan bahwa dual funding masih bersifat eksperimental dan tidak menganjurkan kanal zero-confirmation dengan peer yang tidak tepercaya. Para maintainer meminta pengguna Core Lightning, termasuk yang masih memakai v26.06.8, untuk meningkatkan ke v26.06.9 secepatnya sesuai kelayakan operasional.