Ist der LNbits-Patch da? Im Code-Repository tut sich etwas, aber die offizielle Aufforderung zum Neustart steht noch aus
Heute Morgen haben wir berichtet, dass LNbits alle Betreiber offiziell aufgefordert hat, ihren Dienst sofort einzustellen. Bis heute Abend sehen wir uns zunächst die überprüfbaren Fakten an (Pekinger Zeit):
1. Im GitHub-Hauptbranch wurden heute zwei Fixes zusammengeführt. Beide Titel beziehen sich auf eine bessere Absicherung gegen SSRF: gegen 20:26 Uhr „SSRF-Schutz zentralisieren und Anfragen an den eigenen Server blockieren“, gegen 22:22 Uhr „SSRF-Prüfung verstärken und lokale LNURL-Routen nur noch explizit aktivieren“.
2. Gegen 22:44 Uhr wurde im Repository das Tag v1.7.0-rc2 gesetzt. „rc“ steht für Release Candidate. Auf der offiziellen GitHub-Release-Seite ist die neueste Version weiterhin v1.6.2 vom September.
3. Der letzte offizielle X-Beitrag stammt weiterhin vom 9. November gegen 01:18 Uhr: Gehostete Instanzen seien abgeschaltet worden und würden innerhalb von 24 Stunden wiederhergestellt. Seitdem gab es keine neue Ankündigung.
Was ist SSRF? Ein Angreifer bringt deinen Server dazu, für ihn eine Adresse aufzurufen, auf die er eigentlich keinen Zugriff haben sollte – etwa den Server selbst oder das interne Netzwerk.
Wichtig ist die Unterscheidung: Die offizielle Stelle hat nicht gesagt, dass diese beiden Fixes die angekündigten Sicherheitspatches sind. Auch Details zur Sicherheitslücke, zur Zahl der Betroffenen oder zu Schäden wurden nicht veröffentlicht. Und es wurde auch nicht gesagt, dass ein Neustart möglich ist. Änderungen im Repository bedeuten nicht, dass Entwarnung gegeben wurde.
Wenn du Betreiber bist: Lass den Dienst weiterhin abgeschaltet und warte auf eine offizielle Ankündigung und Release-Informationen, bevor du etwas unternimmst. Installiere keine „Fix-Pakete“ aus unbekannter Quelle und lass dich nicht auf Personen ein, die dir unaufgefordert per Privatnachricht Hilfe anbieten.
#LNbits #闪电网络 #Sicherheit
Heute Morgen haben wir berichtet, dass LNbits alle Betreiber offiziell aufgefordert hat, ihren Dienst sofort einzustellen. Bis heute Abend sehen wir uns zunächst die überprüfbaren Fakten an (Pekinger Zeit):
1. Im GitHub-Hauptbranch wurden heute zwei Fixes zusammengeführt. Beide Titel beziehen sich auf eine bessere Absicherung gegen SSRF: gegen 20:26 Uhr „SSRF-Schutz zentralisieren und Anfragen an den eigenen Server blockieren“, gegen 22:22 Uhr „SSRF-Prüfung verstärken und lokale LNURL-Routen nur noch explizit aktivieren“.
2. Gegen 22:44 Uhr wurde im Repository das Tag v1.7.0-rc2 gesetzt. „rc“ steht für Release Candidate. Auf der offiziellen GitHub-Release-Seite ist die neueste Version weiterhin v1.6.2 vom September.
3. Der letzte offizielle X-Beitrag stammt weiterhin vom 9. November gegen 01:18 Uhr: Gehostete Instanzen seien abgeschaltet worden und würden innerhalb von 24 Stunden wiederhergestellt. Seitdem gab es keine neue Ankündigung.
Was ist SSRF? Ein Angreifer bringt deinen Server dazu, für ihn eine Adresse aufzurufen, auf die er eigentlich keinen Zugriff haben sollte – etwa den Server selbst oder das interne Netzwerk.
Wichtig ist die Unterscheidung: Die offizielle Stelle hat nicht gesagt, dass diese beiden Fixes die angekündigten Sicherheitspatches sind. Auch Details zur Sicherheitslücke, zur Zahl der Betroffenen oder zu Schäden wurden nicht veröffentlicht. Und es wurde auch nicht gesagt, dass ein Neustart möglich ist. Änderungen im Repository bedeuten nicht, dass Entwarnung gegeben wurde.
Wenn du Betreiber bist: Lass den Dienst weiterhin abgeschaltet und warte auf eine offizielle Ankündigung und Release-Informationen, bevor du etwas unternimmst. Installiere keine „Fix-Pakete“ aus unbekannter Quelle und lass dich nicht auf Personen ein, die dir unaufgefordert per Privatnachricht Hilfe anbieten.
#LNbits #闪电网络 #Sicherheit
