¿Ya llegó el parche de LNbits? Hay movimiento en el repositorio, pero el equipo oficial aún no ha dicho «ya pueden reiniciar»
Esta mañana escribimos que el equipo oficial de LNbits había pedido a todos los operadores que detuvieran el servicio de inmediato. A estas horas de la noche, veamos primero los hechos que se pueden verificar (hora de Pekín):
1. Hoy se fusionaron dos correcciones en la rama principal de GitHub. Ambas se titulan como mejoras de la protección contra SSRF: alrededor de las 20:26, «Centralizar la protección contra SSRF y bloquear solicitudes dirigidas a sí mismo»; alrededor de las 22:22, «Reforzar las comprobaciones contra SSRF y habilitar explícitamente las rutas LNURL locales».
2. Alrededor de las 22:44, se creó en el repositorio la etiqueta v1.7.0-rc2. «RC» significa versión candidata. La última versión en la página oficial de lanzamientos de GitHub sigue siendo la v1.6.2, de septiembre.
3. La última publicación oficial en X sigue siendo la del 9 de noviembre, alrededor de la 01:18: las instancias del servicio alojado estaban cerradas y se afirmaba que se restablecerían en 24 horas. Desde entonces no ha habido nuevos anuncios.
Qué es SSRF: un atacante intenta que tu servidor acceda en su lugar a direcciones a las que no debería acceder, como el propio servidor o la red interna.
Hay que tener claro que el equipo oficial no ha dicho que estas dos correcciones sean los parches de seguridad anunciados, ni ha publicado detalles de las vulnerabilidades, la cantidad de afectados o las pérdidas. Tampoco ha dicho que ya se pueda reiniciar. Que haya movimiento en el repositorio no significa que la alerta haya sido levantada.
Si eres operador: mantén el servicio detenido y espera a un anuncio oficial y a las notas de la versión antes de hacer nada; no instales «paquetes de reparación» de origen dudoso y tampoco hagas caso a quienes te contacten por mensaje privado ofreciéndose a ayudar.
#LNbits #闪电网络 #Seguridad
Esta mañana escribimos que el equipo oficial de LNbits había pedido a todos los operadores que detuvieran el servicio de inmediato. A estas horas de la noche, veamos primero los hechos que se pueden verificar (hora de Pekín):
1. Hoy se fusionaron dos correcciones en la rama principal de GitHub. Ambas se titulan como mejoras de la protección contra SSRF: alrededor de las 20:26, «Centralizar la protección contra SSRF y bloquear solicitudes dirigidas a sí mismo»; alrededor de las 22:22, «Reforzar las comprobaciones contra SSRF y habilitar explícitamente las rutas LNURL locales».
2. Alrededor de las 22:44, se creó en el repositorio la etiqueta v1.7.0-rc2. «RC» significa versión candidata. La última versión en la página oficial de lanzamientos de GitHub sigue siendo la v1.6.2, de septiembre.
3. La última publicación oficial en X sigue siendo la del 9 de noviembre, alrededor de la 01:18: las instancias del servicio alojado estaban cerradas y se afirmaba que se restablecerían en 24 horas. Desde entonces no ha habido nuevos anuncios.
Qué es SSRF: un atacante intenta que tu servidor acceda en su lugar a direcciones a las que no debería acceder, como el propio servidor o la red interna.
Hay que tener claro que el equipo oficial no ha dicho que estas dos correcciones sean los parches de seguridad anunciados, ni ha publicado detalles de las vulnerabilidades, la cantidad de afectados o las pérdidas. Tampoco ha dicho que ya se pueda reiniciar. Que haya movimiento en el repositorio no significa que la alerta haya sido levantada.
Si eres operador: mantén el servicio detenido y espera a un anuncio oficial y a las notas de la versión antes de hacer nada; no instales «paquetes de reparación» de origen dudoso y tampoco hagas caso a quienes te contacten por mensaje privado ofreciéndose a ayudar.
#LNbits #闪电网络 #Seguridad
