Core Lightning v26.06.9 corrige falhas de segurança e atrasos em pagamentos

O Core Lightning, software usado para operar nós de pagamento na Lightning Network do Bitcoin, lançou a versão v26.06.9 com correções de segurança e um ajuste para uma regressão que podia atrasar o tráfego de canais em nós com alta carga que executavam a v26.06.8. No GitHub, a publicação aparece datada de 7 de outubro, enquanto o changelog versionado traz 6 de outubro. A atualização oferece aos operadores que instalaram a v26.06.8 uma nova decisão sobre o upgrade, após a falha de penalidade "revokedchannel" de 27 de setembro, corrigida na v26.06.7. O patch mais recente adiciona correções e resolve uma regressão introduzida por essa versão posterior. Na v26.06.8, mensagens rotineiras de gossip, pings e onion passaram a consumir um orçamento de CPU pensado para consultas de gossip. Em nós movimentados, esse registro podia limitar peers e atrasar o tráfego de canais, segundo os mantenedores. A v26.06.9 reserva esse orçamento exclusivamente para consultas de gossip; com isso, mensagens comuns deixam de consumi-lo, eliminando a causa documentada do estrangulamento. O changelog também descreve um ajuste para o caso em que um contrato de pagamento (HTLC) atinge o prazo final enquanto um canal está em processo de encerramento. Nessa situação, a v26.06.9 passa a forçar o fechamento do canal, evitando que fundos encaminhados sejam perdidos caso o pagamento seja liquidado com atraso. Para operadores que fazem encaminhamento de pagamentos, a mudança corrige um problema de proteção de fundos quando prazos de pagamento e desligamento de canal se sobrepõem. Além de corrigir a regressão do orçamento de mensagens, a v26.06.9 adiciona salvaguardas relacionadas a shutdown, permissões e configuração. Outras correções reforçam os limites carregados por "runes" usadas para autorizar chamadas, impedindo que uma rune restrita crie outra irrestrita ou volte a listar runes em blacklist. As restrições nos métodos correspondentes de criação e bloqueio passam a cobrir também os aliases invokerune e destroyrune. O comando listconfigs agora mascara diversos valores sensíveis, incluindo informações de recuperação e senhas do Bitcoin RPC, para qualquer solicitante. Já o setconfig fecha um caminho que permitia injetar linhas de configuração por meio de valores persistentes de opções. As correções estão disponíveis imediatamente, mas os mantenedores retiveram temporariamente testes de segurança para dificultar o desenvolvimento de exploits e dar mais tempo para que operadores atualizem. Nós que executaram a branch master não conseguem fazer downgrade para uma versão 26.06.x, pois o esquema do banco de dados é mais recente. O release também reforça que o dual funding segue experimental e desestimula canais com zeroconfirmação com peers não confiáveis. Os mantenedores recomendam que usuários do Core Lightning, incluindo os que estão na v26.06.8, atualizem para a v26.06.9 assim que possível. O texto "Core Lightning patches critical security flaws and a Bitcoin payment bug" apareceu primeiro no CryptoSlate.