BTCPay ServerのLND資格情報漏えい、悪用確認・修正版あり
Summary
BTCPay ServerのLNDを使う運用では、2.4.2より前の版で資格情報ファイルが外部に取り出され、資金が盗まれる被害がすでに出ています。該当する場合は2.4.2へ更新し、LNDノードに身に覚えのない動きがないかも調べてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
BTCPay ServerのLNDを使う運用では、2.4.2より前の版で資格情報ファイルが外部に取り出され、資金が盗まれる被害がすでに出ています。該当する場合は2.4.2へ更新し、LNDノードに身に覚えのない動きがないかも調べてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| BTCPay Server | BTCPay Server |
< 2.4.2 |
2.4.2 |
Original description The description as published by the source.
BTCPay Server before 2.4.2, including 2.4.2 release candidates, contains an information disclosure vulnerability that allows unauthenticated remote attackers to retrieve .macaroon credential files for an LND (Lightning Network Daemon) node. Attackers can use the exposed macaroon to gain full control of the LND node, including moving funds, resulting in theft of funds from affected deployments.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web binance.com
- web vulncheck.com
- web nvd.nist.gov
- web blog.btcpayserver.org
- web github.com