Matt Corallo a semnalat pe 30 octombrie vulnerabilitatea CVE-2026-98432 din kernelul Linux, iar Lightning Labs a lansat LND 0.20.7, o versiune care închide calea de exploatare demonstrată prin nodurile Lightning. Dacă rulezi LND pe Linux, ai trei pași de făcut, în ordine.
Ce este CVE-2026-98432
Bug-ul afectează codul de handshake TCP IPv4 al kernelului Linux și are scor CVSS 9,8. Corallo l-a descris pe X drept „cea mai critică vulnerabilitate Linux din istorie”.
Conform notelor de lansare LND 0.20.7, exploit-ul remote demonstrat necesită un listener Multipath TCP (MPTCP). Go 1.24+ activează MPTCP implicit, așa că LND 0.20.x expunea astfel de listeneri pe porturile peer, gRPC și REST. Windows și macOS nu sunt afectate.
Ce a schimbat Lightning Labs
- Binarele LND 0.20.7 nu mai deschid listeneri MPTCP și revin la TCP simplu ca transport implicit
- Schimbarea este o mitigare, nu un fix: bug-ul din kernel nu este specific MPTCP
- Contul oficial Lightning Labs a recomandat
pe X actualizarea nodurilor
- După ce kernelul primește patch-ul, poți reactiva MPTCP cu GODEBUG=multipathtcp=1
Cei trei pași, în ordine
Lightning Labs cere operatorilor Linux să facă toți cei trei pași, în această ordine. Versiunea nouă protejează doar LND, nu și celelalte servicii de pe aceeași mașină.
Pas | Acțiune | Ce acoperă |
|---|---|---|
1 | Actualizează la LND 0.20.7 | Închide calea de exploatare demonstrată prin LND |
2 | sudo sysctl -w net.mptcp.enabled=0 | Celelalte servicii de pe host |
3 | Instalează kernelul cu patch al distribuției tale | Singurul fix pentru bug-ul din kernel |
Pentru ca setarea de la pasul 2 să rămână activă după restart, rulează și: echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf. Dacă comanda raportează că cheia nu există, kernelul tău nu are suport MPTCP și nu este expus prin această cale.
Docker, verificare și alternative
Setarea MPTCP este per network namespace. Dacă LND rulează în Docker, pasează --sysctl net.mptcp.enabled=0 containerului sau folosește regula de firewall din issue-ul 11455, care acoperă toate namespace-urile.
Verifică cu sudo ss -Mlnp | grep lnd - comanda nu ar trebui să afișeze nimic. Dacă nu poți actualiza încă, pornește binarul existent cu GODEBUG=multipathtcp=0.
Dezactivarea MPTCP închide doar exploit-ul demonstrat. Nu reactiva MPTCP cu GODEBUG=multipathtcp=1 până când kernelul tău nu primește patch-ul.