Eclair, le logiciel de nœud Lightning de Bitcoin développé par ACINQ, a publié la version 0.14.4 le 15 octobre pour corriger une vulnérabilité permettant à des pages web malveillantes d’envoyer des commandes authentifiées vers un nœud. L’exploitation nécessite une API Eclair activée accessible depuis le navigateur de l’opérateur, avec des identifiants HTTP Basic déjà mis en cache dans ce navigateur. La correction rejette désormais toute requête contenant un en-tête Origin avec une réponse HTTP 403. Les interfaces navigateur légitimes, y compris celles hébergées à la même origine que l’API, doivent désormais passer par un backend intermédiaire. L’accès en ligne de commande via curl et eclair-cli reste non affecté, et les mainteneurs recommandent la mise à niveau sans fermer les canaux Lightning existants.
Source: Lire l’article original
