PT-2020-16537 · Lightning Network Daemon · Lnd

CVE-2020-26895 · Publicado 2020-10-21 · Atualizado 2024-01-19

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do LND anteriores à 0.10.0-beta

Descrição

A falha permite que qualquer par com um canal aberto explore a vulnerabilidade, independentemente da situação da vítima, seja ela um nó de roteamento, um destinatário de pagamento ou um remetente de pagamento. Isso pode levar à perda de fundos em determinadas situações. A vulnerabilidade está relacionada à aceitação de uma assinatura de contraparte com alto S e à transmissão de transações locais de compromisso/HTLC inválidas.

Recomendações

Para versões anteriores à 0.10.0-beta, atualize para uma versão 0.11.x o mais rápido possível.

No momento, não há informações sobre outras medidas de mitigação para esta vulnerabilidade.

Correção

Enumeração de Fraquezas

CWE-354

Identificadores relacionados

CVE-2020-26895

Produtos afetados

Lnd

Referências · 11

• https://twitter.com/dpuellARK___/status/1747923778510749960 · Publicação no Twitter
• https://twitter.com/reibiz/status/1748333918573474133 · Publicação no Twitter
• https://lists.linuxfoundation.org/pipermail/lightning-dev/2020-October/002856.html · Nota
• https://twitter.com/reibiz/status/1748334018427224475 · Publicação no Twitter
• https://twitter.com/dpuellARK___/status/1747923866163241039 · Publicação no Twitter
• https://twitter.com/reibiz/status/1748333968473121127 · Publicação no Twitter
• https://gist.github.com/ariard/fb432a9d2cd3ba24fdc18ccc8c5c6eb4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-26895 · Nota de Segurança
• https://t.me/cibsecurity/15432 · Publicação no Telegram
• https://lists.linuxfoundation.org/pipermail/lightning-dev/2020-October/002858.html · Nota
• https://osv.dev/vulnerability/CVE-2020-26895 · Aviso do Fabricante