PT-2024-26111 · Lnbits · Lnbits

Fishcakeday + 1 · Publicado 2024-06-14 · Atualizado 2024-06-17 · CVE-2024-34694

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do LNbits anteriores à 0.12.6

Descrição

O pagamento de faturas no Eclair que não sejam liquidadas dentro do tempo limite interno (cerca de 30 segundos) pode fazer com que um pagamento seja considerado falho, mesmo que ainda esteja em andamento. Esse problema pode resultar na perda total de fundos para o backend do nó. O problema surge ao usar blocking: true na chamada de API, levando a um erro de tempo limite se um pagamento não for liquidado dentro do tempo limite de 30 segundos.

Recomendações

Para versões anteriores à 0.12.6, atualize para a versão 0.12.6 para evitar a perda de fundos devido a faturas não liquidadas. Como solução temporária, considere verificar o status do pagamento após um erro e sempre presuma que o pagamento ainda está em andamento quando houver dúvida. Restringir o uso de blocking: true nas chamadas de API até que o problema seja resolvido também pode ajudar a minimizar o risco de exploração.

Exploit

Correção

Improper Check for Exceptional Conditions

Enumeração de Fraquezas

CWE-754

Identificadores relacionados

CVE-2024-34694

GHSA-3J4H-H3FP-VWWW

Produtos afetados

Lnbits

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34694.json · Exploit
• https://github.com/lnbits/lnbits/security/advisories/GHSA-3j4h-h3fp-vwww · Nota
• https://github.com/lnbits/lnbits · Nota
• https://osv.dev/vulnerability/GHSA-3j4h-h3fp-vwww · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34694 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-34694 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1801673795444609406 · Publicação no Twitter
• https://twitter.com/linuxpatch/status/1801647393248579680 · Publicação no Twitter