Dans un message publié vendredi sur la liste de diffusion Lightning-dev, le développeur Rusty Russell * est revenu en détail sur le problème de sécurité qu’il avait révélé le mois dernier. Le bug affecte les anciennes versions de C-lightning, Lnd et Eclair : « Un attaquant peut prétendre ouvrir un canal mais ne pas payer à son homologue, ou ne pas payer le montant intégral ».
Sans les contrôles appropriés, un attaquant pourrait prétendre ouvrir un nouveau canal de paiement et envoyer de fausses transactions. Ainsi trompé, un utilisateur honnête pourrait alors renvoyer de l’argent réel à l’attaquant sans savoir que les transactions précédentes étaient complètement artificielles.
Versions affectées :
– C-lightning < 0.7.1
– Lnd < 0.7
– Eclair <= 0.3
Une simple mise à jour de ces logiciels suffit pour se prémunir de tout risque de perte lié à cette vulnérabilité.
Source : lists.linuxfoundation.org/pipermail/lightning-dev
* Rusty Russell est l’un des principaux contributeurs aux spécifications du Lightning Network.
