Bản vá LNbits đã ra chưa? Kho mã có động thái, nhưng phía chính thức vẫn chưa nói “có thể khởi động lại”
Sáng nay chúng tôi đã đưa tin LNbits chính thức yêu cầu tất cả nhà vận hành lập tức ngừng dịch vụ. Đến tối nay, hãy cùng xem những thông tin đã xác minh được (giờ Bắc Kinh):
1. Nhánh chính trên GitHub hôm nay đã hợp nhất hai bản sửa lỗi, cả hai đều có tiêu đề về tăng cường bảo vệ SSRF: khoảng 20:26, “Tập trung bảo vệ SSRF, chặn các yêu cầu trỏ đến chính máy chủ”; khoảng 22:22, “Tăng cường kiểm tra SSRF, chuyển tuyến LNURL nội bộ sang chế độ bật tường minh”.
2. Khoảng 22:44, kho mã được gắn thẻ v1.7.0-rc2. “rc” là bản phát hành ứng viên; trên trang phát hành chính thức của GitHub, bản mới nhất vẫn là v1.6.2 hồi tháng 9.
3. Bài đăng mới nhất trên X của phía chính thức vẫn là bài đăng khoảng 01:18 ngày 9/11: các phiên bản dịch vụ lưu trữ đã được đóng, và họ cho biết sẽ khôi phục trong vòng 24 giờ. Sau đó không có thông báo mới.
SSRF là gì: kẻ tấn công tìm cách khiến máy chủ của bạn truy cập thay chúng vào những địa chỉ vốn không nên được truy cập, chẳng hạn như chính máy chủ đó hoặc mạng nội bộ.
Điều cần phân biệt là: phía chính thức chưa nói hai bản sửa lỗi này chính là loạt bản vá bảo mật kia, cũng chưa công bố chi tiết lỗ hổng, số lượng bị ảnh hưởng hay thiệt hại, càng chưa nói rằng có thể khởi động lại. Kho mã có động thái không đồng nghĩa với việc cảnh báo đã được gỡ bỏ.
Nếu bạn là nhà vận hành: hãy tiếp tục để dịch vụ ngừng hoạt động, chờ thông báo chính thức và ghi chú phát hành rồi mới hành động; đừng cài “gói sửa lỗi” không rõ nguồn gốc, cũng đừng tin những người chủ động nhắn tin riêng đề nghị giúp đỡ.
#LNbits #闪电网络 #BảoMật
Sáng nay chúng tôi đã đưa tin LNbits chính thức yêu cầu tất cả nhà vận hành lập tức ngừng dịch vụ. Đến tối nay, hãy cùng xem những thông tin đã xác minh được (giờ Bắc Kinh):
1. Nhánh chính trên GitHub hôm nay đã hợp nhất hai bản sửa lỗi, cả hai đều có tiêu đề về tăng cường bảo vệ SSRF: khoảng 20:26, “Tập trung bảo vệ SSRF, chặn các yêu cầu trỏ đến chính máy chủ”; khoảng 22:22, “Tăng cường kiểm tra SSRF, chuyển tuyến LNURL nội bộ sang chế độ bật tường minh”.
2. Khoảng 22:44, kho mã được gắn thẻ v1.7.0-rc2. “rc” là bản phát hành ứng viên; trên trang phát hành chính thức của GitHub, bản mới nhất vẫn là v1.6.2 hồi tháng 9.
3. Bài đăng mới nhất trên X của phía chính thức vẫn là bài đăng khoảng 01:18 ngày 9/11: các phiên bản dịch vụ lưu trữ đã được đóng, và họ cho biết sẽ khôi phục trong vòng 24 giờ. Sau đó không có thông báo mới.
SSRF là gì: kẻ tấn công tìm cách khiến máy chủ của bạn truy cập thay chúng vào những địa chỉ vốn không nên được truy cập, chẳng hạn như chính máy chủ đó hoặc mạng nội bộ.
Điều cần phân biệt là: phía chính thức chưa nói hai bản sửa lỗi này chính là loạt bản vá bảo mật kia, cũng chưa công bố chi tiết lỗ hổng, số lượng bị ảnh hưởng hay thiệt hại, càng chưa nói rằng có thể khởi động lại. Kho mã có động thái không đồng nghĩa với việc cảnh báo đã được gỡ bỏ.
Nếu bạn là nhà vận hành: hãy tiếp tục để dịch vụ ngừng hoạt động, chờ thông báo chính thức và ghi chú phát hành rồi mới hành động; đừng cài “gói sửa lỗi” không rõ nguồn gốc, cũng đừng tin những người chủ động nhắn tin riêng đề nghị giúp đỡ.
#LNbits #闪电网络 #BảoMật
