Core Lightning v26.06.9: corrette falle di sicurezza e ritardi nei pagamenti

Core Lightning, il software per gestire nodi di pagamento su Bitcoin Lightning, ha pubblicato la versione v26.06.9 con correzioni di sicurezza e un intervento su una regressione che poteva rallentare il traffico dei canali sui nodi pi"carichi" che eseguivano v26.06.8. Su GitHub la release risulta pubblicata il 7 ottobre, mentre il changelog versionato riporta la data del 6 ottobre. L'aggiornamento rimette sul tavolo la scelta per gli operatori che avevano installato v26.06.8, dopo il bug "revokedchannel penalty" del 27 settembre risolto con v26.06.7. La patch pi) recente include ulteriori fix e corregge una regressione introdotta successivamente. Ritardi sui pagamenti Bitcoin e rischio in fase di shutdown Secondo i maintainer, in v26.06.8 i messaggi ordinari di rete (gossip di routine, ping e onion messages) venivano conteggiati nel budget CPU destinato alle query di gossip. Sui nodi molto impegnati, questa contabilizzazione poteva limitare i peer e causare ritardi nel traffico dei canali. Con v26.06.9 quel budget viene riservato alle sole query di gossip: i messaggi ordinari non lo consumano pi), eliminando la causa documentata del throttling. Il changelog include anche una correzione per un contratto di pagamento (HTLC) che arriva a scadenza mentre un canale "sta chiudendo". In quel caso v26.06.9 forza ora la chiusura del canale, riducendo il rischio di perdita dei fondi inoltrati se il pagamento viene completato in ritardo. Per chi opera come nodo di forwarding, si tratta di una misura di protezione quando scadenze dei pagamenti e shutdown del canale si sovrappongono. Salvaguardie su permessi e configurazione Oltre alla correzione della regressione sul budget dei messaggi, v26.06.9 introduce protezioni su shutdown, permessi e configurazione. Alcuni interventi rafforzano i limiti associati alle runes usate per autorizzare chiamate: una rune con restrizioni non pu) pi) crearne una senza vincoli n) ripubblicare runes messe in blacklist. Le restrizioni nelle funzioni di creazione e blocklisting vengono estese anche agli alias invokerune e destroyrune. Il comando listconfigs maschera ora diversi valori sensibili, incluse informazioni di recovery e password Bitcoin RPC, per qualunque chiamante. Il comando setconfig chiude inoltre un possibile canale di iniezione di righe di configurazione tramite valori persistenti delle opzioni. Distribuzione e avvertenze operative Le correzioni sono disponibili da subito, ma i maintainer hanno temporaneamente sospeso alcuni test di sicurezza per rendere pi) difficile lo sviluppo di exploit e concedere agli operatori pi) tempo per aggiornare. I nodi che hanno eseguito master non possono effettuare downgrade a una release 26.06.x, perch) lo schema del database risulta pi) recente. La release ribadisce che il dual funding resta sperimentale e sconsiglia canali a zero conferme con peer non affidabili. I maintainer invitano gli utenti di Core Lightning, inclusi quelli su v26.06.8, ad aggiornare a v26.06.9 appena possibile. Il post "Core Lightning patches critical security flaws and a Bitcoin payment bug" è apparso per la prima volta su CryptoSlate.