Le correctif LNbits est-il arrivé ? Le dépôt bouge, mais les autorités officielles n’ont pas encore dit « vous pouvez redémarrer »
Ce matin, nous avons écrit que l’équipe officielle de LNbits demandait à tous les opérateurs de suspendre immédiatement leurs services. À ce soir, voici les faits que nous avons pu vérifier (heure de Pékin) :
1. Deux correctifs ont été fusionnés aujourd’hui dans la branche principale de GitHub. Leurs titres portent tous deux sur le renforcement de la protection contre les SSRF : vers 20 h 26, « Centraliser la protection contre les SSRF et bloquer les requêtes dirigées vers soi-même » ; vers 22 h 22, « Renforcer les vérifications SSRF et activer explicitement le routage LNURL local ».
2. Vers 22 h 44, le dépôt a reçu le tag v1.7.0-rc2. « rc » signifie « version candidate » ; sur la page officielle des versions de GitHub, la plus récente reste la v1.6.2 de septembre.
3. Le dernier message officiel sur X reste celui du 9 novembre vers 01 h 18 : les instances du service hébergé ont été arrêtées et devraient être rétablies dans les 24 heures. Aucune nouvelle annonce depuis.
Qu’est-ce qu’une SSRF ? Un attaquant cherche à faire en sorte que votre serveur accède à sa place à des adresses auxquelles il ne devrait pas pouvoir accéder, comme le serveur lui-même ou le réseau interne.
Il faut bien distinguer les choses : l’équipe officielle n’a pas dit que ces deux correctifs étaient ceux du lot de correctifs de sécurité, n’a publié aucun détail sur la vulnérabilité, le nombre de personnes touchées ou les pertes, et n’a surtout pas dit que vous pouviez redémarrer. Une activité dans le dépôt ne signifie pas que l’alerte est levée.
Si vous êtes opérateur : maintenez le service à l’arrêt et attendez une annonce officielle et les notes de version avant d’agir. N’installez pas de « correctif » provenant d’une source inconnue et ne faites pas confiance aux personnes qui vous contactent spontanément par message privé pour vous proposer leur aide.
#LNbits #闪电网络 #安全
Ce matin, nous avons écrit que l’équipe officielle de LNbits demandait à tous les opérateurs de suspendre immédiatement leurs services. À ce soir, voici les faits que nous avons pu vérifier (heure de Pékin) :
1. Deux correctifs ont été fusionnés aujourd’hui dans la branche principale de GitHub. Leurs titres portent tous deux sur le renforcement de la protection contre les SSRF : vers 20 h 26, « Centraliser la protection contre les SSRF et bloquer les requêtes dirigées vers soi-même » ; vers 22 h 22, « Renforcer les vérifications SSRF et activer explicitement le routage LNURL local ».
2. Vers 22 h 44, le dépôt a reçu le tag v1.7.0-rc2. « rc » signifie « version candidate » ; sur la page officielle des versions de GitHub, la plus récente reste la v1.6.2 de septembre.
3. Le dernier message officiel sur X reste celui du 9 novembre vers 01 h 18 : les instances du service hébergé ont été arrêtées et devraient être rétablies dans les 24 heures. Aucune nouvelle annonce depuis.
Qu’est-ce qu’une SSRF ? Un attaquant cherche à faire en sorte que votre serveur accède à sa place à des adresses auxquelles il ne devrait pas pouvoir accéder, comme le serveur lui-même ou le réseau interne.
Il faut bien distinguer les choses : l’équipe officielle n’a pas dit que ces deux correctifs étaient ceux du lot de correctifs de sécurité, n’a publié aucun détail sur la vulnérabilité, le nombre de personnes touchées ou les pertes, et n’a surtout pas dit que vous pouviez redémarrer. Une activité dans le dépôt ne signifie pas que l’alerte est levée.
Si vous êtes opérateur : maintenez le service à l’arrêt et attendez une annonce officielle et les notes de version avant d’agir. N’installez pas de « correctif » provenant d’une source inconnue et ne faites pas confiance aux personnes qui vous contactent spontanément par message privé pour vous proposer leur aide.
#LNbits #闪电网络 #安全
