Electrum 4.8.4 อุดช่องโหว่การจัดการข้อความ onion บน Lightning Network

Electrum ออกซอฟต์แวร์กระเป๋าบิตคอยน์(BTC) เวอร์ชัน 4.8.4 พร้อมแก้ช่องโหว่ในการจัดการข้อความ onion ของ Lightning Network

บันทึกการเปลี่ยนแปลงอย่างเป็นทางการของ Electrum ลงวันที่ 6 พ.ย. จัดให้เวอร์ชัน 4.8.4 เป็นอัปเดตความปลอดภัย ส่วนเว็บไซต์ทางการแสดงเวอร์ชันนี้เป็นรุ่นล่าสุด

หาก Electrum ได้รับข้อความ onion ที่ถูกดัดแปลงจากแหล่งใดก็ได้ ซอฟต์แวร์อาจตัดการเชื่อมต่อกับ channel peer ซึ่งเป็นโหนดที่กระเป๋าเชื่อมต่อเพื่อเปิดช่องทางชำระเงินบน Lightning การตัดการเชื่อมต่ออาจกระทบการสื่อสารระหว่างกระเป๋ากับโหนดนั้นผ่านช่องทางดังกล่าว

เวอร์ชัน 4.8.4 ปรับให้จัดการข้อความ onion ที่ไม่ถูกต้องได้อย่างเหมาะสม โดยจะทิ้งข้อความ onion ที่ได้รับทั้งหมดจนกว่าจะมีการใช้งานกรณีจริง นอกจากนี้ยังปฏิเสธประกาศ channel ที่มี node ID เดียวกันซ้ำสองครั้ง ซึ่งเป็นการแก้ไขส่วน Lightning แยกจากการจัดการข้อความ onion

การอัปเดตยังแก้ข้อผิดพลาดในการกู้คืนกระเป๋า วลีสำหรับกู้คืนบางชุดจากเวอร์ชันก่อน 2.0 ถูกตีความเป็นสตริงเลขฐานสิบหกที่มีความยาวเป็นเลขคี่ ทำให้กู้คืนไม่สำเร็จ โดยบันทึกการเปลี่ยนแปลงระบุว่าปัญหานี้เกิดขึ้นตั้งแต่เวอร์ชัน 4.6.1

Electrum ยังแก้ปัญหาการคำนวณธุรกรรม ซึ่งอาจทำงานช้าเมื่อมีการลบธุรกรรมในเครื่อง และอาจเกิดข้อผิดพลาดแบบเรียกซ้ำเมื่อชุดธุรกรรมที่เชื่อมโยงกันมีความยาวมาก

บนเดสก์ท็อป มีการแก้ปัญหาแท็บ Coins ค้างในกระเป๋าที่มีข้อมูลจำนวนมาก โดยมีสาเหตุจากการคำนวณธุรกรรมต้นทางที่ล่าช้า

นอกจากนี้ยังแก้ปัญหาตัวแสดงการโหลดในแท็บส่งเงินที่ค้างอยู่ และหน้ารายงานข้อขัดข้องที่ปรากฏขึ้นเมื่อเปิดไฟล์ที่ไม่ใช่ไฟล์กระเป๋าหรืออ่านไม่ได้ ตอนนี้จะแสดงข้อความแจ้งข้อผิดพลาดแทน

บน Android การอัปเดตแก้ปัญหาแอปปิดตัวเองเมื่อไม่พบธุรกรรมในหน้ารายละเอียดธุรกรรม และแก้รายการเหรียญกับที่อยู่ที่แสดงเอาต์พุตธุรกรรมที่ยังไม่ถูกใช้ (UTXO) เก่า นอกจากนี้ยังเพิ่มการแตะรายการอินพุตของธุรกรรมเพื่อเปิดที่อยู่ที่เกี่ยวข้องหรือธุรกรรมที่ใช้จัดหาเงินทุน รวมถึงเพิ่มการดูประวัติธุรกรรมแยกตามที่อยู่

ก่อนหน้านี้ Electrum เวอร์ชัน 4.8.3 แก้ช่องโหว่อีกกรณีหนึ่ง ซึ่งเซิร์ฟเวอร์ที่เป็นอันตรายอาจแสดงธุรกรรมที่ผู้ใช้เพิ่งเผยแพร่ในรูปแบบที่ถูกเปลี่ยนแปลง เพื่อชักจูงให้ผู้ใช้เพิ่มค่าธรรมเนียม โดยมีรายงานกรณีการใช้ประโยชน์จากช่องโหว่นั้นก่อนหน้านี้

Electrum แนะนำให้ดาวน์โหลดไฟล์ติดตั้งจากเว็บไซต์ทางการเท่านั้น และตรวจสอบลายเซ็น GPG ก่อนติดตั้ง