Nutshell 0.22.0: выпущены исправления безопасности в учёте минта, аутентификации и работе с seed
Релиз Cashu Nutshell 0.22.0 содержит, по словам выпуска, исправления и усиление безопасности в учёте минта, аутентификации, обработке seed, логировании и валидации запросов; подробности дефектов и их эксплуатируемость в заметках не раскрыты. Выпуск также несёт миграции базы данных минта, поддержку BIP-39 seed минта (MINT_MNEMONIC при сохранённой поддержке устаревшего MINT_PRIVATE_KEY), кеширование ответов без Redis и изменения обработки Lightning-платежей.
Что делать: Если вы ведёте минт Nutshell без этих исправлений: сначала сделайте резервную копию баз данных и остановите все старые воркеры минта, только потом обновляйтесь; операторам Spark — до обновления сверить и закрыть ожидающие платежи. После обновления, при легаси-keyset с ключом расшифровки seed, повторно выполнить миграцию шифрования seed так, как указано в заметках релиза. Для установок через pip/pipx выпуск рекомендует Python 3.12. Mnemonic храните в надёжном бэкапе; существующие keyset сами не ротируются — переход каждой единицы делается явной ротацией. Уже обновлённым установкам действий не…
Источник: github.com
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты #патч_есть
Релиз Cashu Nutshell 0.22.0 содержит, по словам выпуска, исправления и усиление безопасности в учёте минта, аутентификации, обработке seed, логировании и валидации запросов; подробности дефектов и их эксплуатируемость в заметках не раскрыты. Выпуск также несёт миграции базы данных минта, поддержку BIP-39 seed минта (MINT_MNEMONIC при сохранённой поддержке устаревшего MINT_PRIVATE_KEY), кеширование ответов без Redis и изменения обработки Lightning-платежей.
Что делать: Если вы ведёте минт Nutshell без этих исправлений: сначала сделайте резервную копию баз данных и остановите все старые воркеры минта, только потом обновляйтесь; операторам Spark — до обновления сверить и закрыть ожидающие платежи. После обновления, при легаси-keyset с ключом расшифровки seed, повторно выполнить миграцию шифрования seed так, как указано в заметках релиза. Для установок через pip/pipx выпуск рекомендует Python 3.12. Mnemonic храните в надёжном бэкапе; существующие keyset сами не ротируются — переход каждой единицы делается явной ротацией. Уже обновлённым установкам действий не…
Источник: github.com
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты #патч_есть
😱1
Blink 3.0.46: смена email/телефона и отключение 2FA теперь требуют кода аутентификатора, исправлены блокировка приложения и PIN
В выпуске Blink 3.0.46 добавление email или телефона и отключение двухфакторной аутентификации теперь требуют кода аутентификатора, а сама 2FA предлагается по мере роста баланса и обязательна выше заданной суммы (альтернатива — переход в самостоятельное хранение). Релиз содержит исправления безопасности для блокировки приложения, лимита попыток PIN и запасного входа по PIN, блокировку снимков экрана на экранах облачного бэкапа и восстановления, ввода seed-фразы и настройки аутентификатора. Для самостоятельных кошельков появился шифрованный recovery-пакет, обновляемый после каждого платежа, с показом даты последнего обновления и проверкой даже при недоступности сервисов Blink.
Что делать: Если вы держите средства на кастодиальном балансе Blink: обновите приложение до выпуска с этими исправлениями, затем в настройках безопасности настройте аутентификатор и сохраните резервную копию setup key в офлайне — иначе при потере телефона доступ не восстановить. Проверьте, что смена email/телефона и отключение 2FA запрашивают код. Для самостоятельного кошелька — убедитесь в настройках, что дата recovery-бэкапа свежая, и проверьте его. Тем, у кого эти исправления уже установлены и аутентификатор настроен, действий не требуется.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
В выпуске Blink 3.0.46 добавление email или телефона и отключение двухфакторной аутентификации теперь требуют кода аутентификатора, а сама 2FA предлагается по мере роста баланса и обязательна выше заданной суммы (альтернатива — переход в самостоятельное хранение). Релиз содержит исправления безопасности для блокировки приложения, лимита попыток PIN и запасного входа по PIN, блокировку снимков экрана на экранах облачного бэкапа и восстановления, ввода seed-фразы и настройки аутентификатора. Для самостоятельных кошельков появился шифрованный recovery-пакет, обновляемый после каждого платежа, с показом даты последнего обновления и проверкой даже при недоступности сервисов Blink.
Что делать: Если вы держите средства на кастодиальном балансе Blink: обновите приложение до выпуска с этими исправлениями, затем в настройках безопасности настройте аутентификатор и сохраните резервную копию setup key в офлайне — иначе при потере телефона доступ не восстановить. Проверьте, что смена email/телефона и отключение 2FA запрашивают код. Для самостоятельного кошелька — убедитесь в настройках, что дата recovery-бэкапа свежая, и проверьте его. Тем, у кого эти исправления уже установлены и аутентификатор настроен, действий не требуется.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
Liana 16.0: выпущено исправление RBF-атаки со стороны вредоносных Electrum-серверов
Вендор объявил релиз Liana v16.0 и среди изменений указал исправление RBF-атаки, которую мог провести вредоносный Electrum-сервер. Подробности дефекта вендор вынес в блог-пост, ссылка в посте; механика атаки в самом объявлении не раскрыта. Релиз также приносит зашифрованные резервные копии дескриптора (BIP138), Taproot по умолчанию, наследование метк�� адресов монетами и транзакциями, переработанный интерфейс и новые языки.
Что делать: Если вы пользуетесь Liana, особенно с подключением к сторонним или недоверенным Electrum-серверам, обновитесь до версии с этим исправлением (v16.0); установкам, уже содержащим его, действий не требуется. Срочность вендор не обозначил — выполните обновление в обычном плановом порядке. Перед обновлением проверьте, что у вас есть рабочая резервная копия дескриптора и seed. Замена ключей не требуется: о раскрытии секретов речи нет.
Источники:
- x.com - lianabitcoin
- wizardsardine.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Вендор объявил релиз Liana v16.0 и среди изменений указал исправление RBF-атаки, которую мог провести вредоносный Electrum-сервер. Подробности дефекта вендор вынес в блог-пост, ссылка в посте; механика атаки в самом объявлении не раскрыта. Релиз также приносит зашифрованные резервные копии дескриптора (BIP138), Taproot по умолчанию, наследование метк�� адресов монетами и транзакциями, переработанный интерфейс и новые языки.
Что делать: Если вы пользуетесь Liana, особенно с подключением к сторонним или недоверенным Electrum-серверам, обновитесь до версии с этим исправлением (v16.0); установкам, уже содержащим его, действий не требуется. Срочность вендор не обозначил — выполните обновление в обычном плановом порядке. Перед обновлением проверьте, что у вас есть рабочая резервная копия дескриптора и seed. Замена ключей не требуется: о раскрытии секретов речи нет.
Источники:
- x.com - lianabitcoin
- wizardsardine.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
Core Lightning выпустил 26.06.10 с исправлениями уязвимостей в dual funding, splicing, onchaind, gossip, connectd, runes и hsmd
Проект сообщает, что точечный релиз 26.06.10 закрывает уязвимости, сообщённые ответственно рядом исследователей, и настоятельно рекомендует обновляться как можно скорее. Среди исправленного — проверки подписи в peer-овых tx_signatures при dual funding и splicing, разрешение HTLC в onchaind, лимиты ресурсов gossip, connectd, runes и commando, хуки плагинов и hsmd, а также ряд исправлений удалённых крашей. Embargo нет, релиз и фиксы доступны сразу; тесты к security-фиксам временно не публикуются, чтобы затруднить быстрое превращение фиксов в эксплойты. Выпущены воспроизводимые сборки amd64, arm64 и armv7 (Ubuntu 22.04/24.04/26.04, amd64 также Fedora 40) и мультиплатформенные Docker-образы.
Что делать: Операторам узлов Core Lightning без этих исправлений: обновитесь до 26.06.10 как можно скорее. Перед установкой проверьте подписи манифеста и контрольные суммы по инструкции релиза, передавая оба файла; для ARM-архивов — отдельные файлы SHA256SUMS и их подписи. Затем просмотрите выданные на узле runes: используемые через commando привяжите к узлу ограничением id, а неучтённые занесите в blacklistrune и перевыпустите с более строгими ограничениями. Узлы, работавшие на master-сборках, откатиться на 26.06.x не смогут — схема БД новее. Зеро-conf каналы с недоверенными пирами проект не рекомендует.
Источник: github.com
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
Проект сообщает, что точечный релиз 26.06.10 закрывает уязвимости, сообщённые ответственно рядом исследователей, и настоятельно рекомендует обновляться как можно скорее. Среди исправленного — проверки подписи в peer-овых tx_signatures при dual funding и splicing, разрешение HTLC в onchaind, лимиты ресурсов gossip, connectd, runes и commando, хуки плагинов и hsmd, а также ряд исправлений удалённых крашей. Embargo нет, релиз и фиксы доступны сразу; тесты к security-фиксам временно не публикуются, чтобы затруднить быстрое превращение фиксов в эксплойты. Выпущены воспроизводимые сборки amd64, arm64 и armv7 (Ubuntu 22.04/24.04/26.04, amd64 также Fedora 40) и мультиплатформенные Docker-образы.
Что делать: Операторам узлов Core Lightning без этих исправлений: обновитесь до 26.06.10 как можно скорее. Перед установкой проверьте подписи манифеста и контрольные суммы по инструкции релиза, передавая оба файла; для ARM-архивов — отдельные файлы SHA256SUMS и их подписи. Затем просмотрите выданные на узле runes: используемые через commando привяжите к узлу ограничением id, а неучтённые занесите в blacklistrune и перевыпустите с более строгими ограничениями. Узлы, работавшие на master-сборках, откатиться на 26.06.x не смогут — схема БД новее. Зеро-conf каналы с недоверенными пирами проект не рекомендует.
Источник: github.com
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
😱1
Blockstream выпустила GDK 0.78.1: очистка ключей и seed из памяти и проверка sighash-флагов перед подписанием
В релизе заявлены security-изменения: учётные данные, ключи, seed и другие чувствительные данные затираются в памяти, как только перестают быть нужны; флаги sighash пользователя проверяются перед подписанием любым signer-ом, включая аппаратные; в multisig проверяется, что возвращённый сервером PIN-пароль не короче 36 символов, а значение и asset явных Liquid UTXO берутся из транзакции, а не от сервера. Также исправлены use-after-free при уничтожении websocket-клиентов (Wamp), округление платы при RBF-замене как в Bitcoin Core и ошибки при выходе индексов выходов за диапазон. Источник не описывает уязвимость, эксплуатацию и срочность.
Что делать: Если вы используете кошелёк или приложение на базе GDK (включая Blockstream Green) либо встраиваете эту библиотеку: обновитесь до сборки с этими исправлениями — в ближайшие дни для разработчиков обновите зависимость и пересоберите продукт, пользователям — установить обновление приложения, когда вендор его выпустит. Установкам, где эти исправления уже есть, действий не требуется. Замена seed не требуется: источник не сообщает о раскрытии ключей.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #разработчики #патч_есть
В релизе заявлены security-изменения: учётные данные, ключи, seed и другие чувствительные данные затираются в памяти, как только перестают быть нужны; флаги sighash пользователя проверяются перед подписанием любым signer-ом, включая аппаратные; в multisig проверяется, что возвращённый сервером PIN-пароль не короче 36 символов, а значение и asset явных Liquid UTXO берутся из транзакции, а не от сервера. Также исправлены use-after-free при уничтожении websocket-клиентов (Wamp), округление платы при RBF-замене как в Bitcoin Core и ошибки при выходе индексов выходов за диапазон. Источник не описывает уязвимость, эксплуатацию и срочность.
Что делать: Если вы используете кошелёк или приложение на базе GDK (включая Blockstream Green) либо встраиваете эту библиотеку: обновитесь до сборки с этими исправлениями — в ближайшие дни для разработчиков обновите зависимость и пересоберите продукт, пользователям — установить обновление приложения, когда вендор его выпустит. Установкам, где эти исправления уже есть, действий не требуется. Замена seed не требуется: источник не сообщает о раскрытии ключей.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #разработчики #патч_есть
😱1
Bisq 1.10.11: изоляция процесса Tor в песочнице и обновления безопасности Tor и Java
По сообщению проекта, выпущена версия Bisq 1.10.11, которую вендор называет важным обновлением безопасности: добавлена песочница, изолирующая процесс Tor, а также включены свежий security-релиз Tor и security-обновления Java. Вендор заявляет, что обновление требуется для продолжения торговли; конкретных уязвимостей и признаков эксплуатации источник не называет.
Что делать: Если вы пользуетесь Bisq: обновитесь до 1.10.11 до следующей сделки — вендор указывает, что без этого торговля недоступна. Релиз доступен по ссылке на страницу выпуска в посте. Уже обновившимся действий не требуется.
Источники:
- x.com - bisq_network
- github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
По сообщению проекта, выпущена версия Bisq 1.10.11, которую вендор называет важным обновлением безопасности: добавлена песочница, изолирующая процесс Tor, а также включены свежий security-релиз Tor и security-обновления Java. Вендор заявляет, что обновление требуется для продолжения торговли; конкретных уязвимостей и признаков эксплуатации источник не называет.
Что делать: Если вы пользуетесь Bisq: обновитесь до 1.10.11 до следующей сделки — вендор указывает, что без этого торговля недоступна. Релиз доступен по ссылке на страницу выпуска в посте. Уже обновившимся действий не требуется.
Источники:
- x.com - bisq_network
- github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
Bisq2 v2.1.15: security-релиз с изоляцией процесса Tor
Вендор сообщает о выпуске Bisq2 v2.1.15 — релиз назван важным обновлением безопасности: добавлена песочница для изоляции процесса Tor, включены последние security-релиз Tor и security-обновления Java. По словам источника, обновление требуется для продолжения торговли. Подробностей конкретных дефектов во входном сообщении нет.
Что делать: Если вы используете Bisq2: обновитесь до v2.1.15 по ссылке на релиз в посте — источник указывает, что без этого обновления торговля недоступна. Сроки источник не называет, но релиз подан как важное обновление безопасности, поэтому обновляйтесь до следующей торговой сессии. Тем, кто уже на этой версии, действий не требуется.
Источники:
- x.com - bisq_network
- github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Вендор сообщает о выпуске Bisq2 v2.1.15 — релиз назван важным обновлением безопасности: добавлена песочница для изоляции процесса Tor, включены последние security-релиз Tor и security-обновления Java. По словам источника, обновление требуется для продолжения торговли. Подробностей конкретных дефектов во входном сообщении нет.
Что делать: Если вы используете Bisq2: обновитесь до v2.1.15 по ссылке на релиз в посте — источник указывает, что без этого обновления торговля недоступна. Сроки источник не называет, но релиз подан как важное обновление безопасности, поэтому обновляйтесь до следующей торговой сессии. Тем, кто уже на этой версии, действий не требуется.
Источники:
- x.com - bisq_network
- github.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
Alby Hub 1.24.6: патч с исправлениями безопасности, проверкой адресов свопа и ключей приложений
Релиз Alby Hub v1.24.6 заявлен как патч с исправлениями ошибок и обновлениями безопасности. Среди изменений: проверка адресов swap-out и возврата на соответствие сети хаба, отказ в приёме pubkey приложения, не являющегося корректной точкой на кривой, отключение MPTCP по умолчанию в бинарниках хаба, а также отказ от переиспользования ID удалённых строк после миграции базы. Деталей уязвимостей и признаков эксплуатации источник не приводит.
Что делать: Если вы держите средства в собственном Alby Hub и у вас нет этих исправлений — обновитесь до выпущенной версии в ближайшее время; после обновления проверьте, что подключённые приложения работают. Релиз подписан: импортируйте ключ из скриптов проекта, сверьте подпись манифеста через gpg --verify и совпадение sha256 архива с манифестом до запуска. Тем, кто уже на сборке с этими исправлениями, действий не требуется.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #операторы_нод #патч_есть
Релиз Alby Hub v1.24.6 заявлен как патч с исправлениями ошибок и обновлениями безопасности. Среди изменений: проверка адресов swap-out и возврата на соответствие сети хаба, отказ в приёме pubkey приложения, не являющегося корректной точкой на кривой, отключение MPTCP по умолчанию в бинарниках хаба, а также отказ от переиспользования ID удалённых строк после миграции базы. Деталей уязвимостей и признаков эксплуатации источник не приводит.
Что делать: Если вы держите средства в собственном Alby Hub и у вас нет этих исправлений — обновитесь до выпущенной версии в ближайшее время; после обновления проверьте, что подключённые приложения работают. Релиз подписан: импортируйте ключ из скриптов проекта, сверьте подпись манифеста через gpg --verify и совпадение sha256 архива с манифестом до запуска. Тем, кто уже на сборке с этими исправлениями, действий не требуется.
Источник: github.com
Подробнее: sec.21ideas.org
#ходлеры #операторы_нод #патч_есть
😱1
Keystone открыл страницу проверки: покупатели могут узнать, затронул ли их заказ инцидент
Keystone сообщает, что обещанная страница проверки заработала: покупатель вводит email, использованный при оформлении заказа, проходит CAPTCHA и видит, попал ли его заказ в число затронутых инцидентом; ответ «No matching record found» означает, что заказ не затронут. По словам вендора, введённый email не сохраняется, а в базе затронутых адреса хранятся только в виде хэшей. Вендор отдельно предупреждает: страница спрашивает исключительно email, и любой запрос recovery-фразы, приватных ключей или оплаты — мошенничество.
Что делать: Если вы оформляли заказ в Keystone — откройте страницу проверки (ссылка в посте), введите email из заказа и пройдите CAPTCHA; при нескольких использованных адресах проверьте каждый и сверьте написание. Если видите «Unable to complete your query» — заново пройдите CAPTCHA и повторите. Страница запрашивает только email: ни на ней, ни в ответ на письма и сообщения «от поддержки» не вводите seed-фразу и приватные ключи и не оплачивайте ничего — вендор называет такие запросы мошенничеством. Если проверка не нашла совпадений, делать ничего не нужно.
Источники:
- x.com - KeystoneWallet
- keyst.one
Подробнее: sec.21ideas.org
#ходлеры
Keystone сообщает, что обещанная страница проверки заработала: покупатель вводит email, использованный при оформлении заказа, проходит CAPTCHA и видит, попал ли его заказ в число затронутых инцидентом; ответ «No matching record found» означает, что заказ не затронут. По словам вендора, введённый email не сохраняется, а в базе затронутых адреса хранятся только в виде хэшей. Вендор отдельно предупреждает: страница спрашивает исключительно email, и любой запрос recovery-фразы, приватных ключей или оплаты — мошенничество.
Что делать: Если вы оформляли заказ в Keystone — откройте страницу проверки (ссылка в посте), введите email из заказа и пройдите CAPTCHA; при нескольких использованных адресах проверьте каждый и сверьте написание. Если видите «Unable to complete your query» — заново пройдите CAPTCHA и повторите. Страница запрашивает только email: ни на ней, ни в ответ на письма и сообщения «от поддержки» не вводите seed-фразу и приватные ключи и не оплачивайте ничего — вендор называет такие запросы мошенничеством. Если проверка не нашла совпадений, делать ничего не нужно.
Источники:
- x.com - KeystoneWallet
- keyst.one
Подробнее: sec.21ideas.org
#ходлеры
😱1
Blockstream называет прошивку Jade 1.0.41 рекомендованным обновлением безопасности
В квартальном отчёте Blockstream сообщает, что прошивка Jade 1.0.41 вышла в августе и закрывает проблемы, найденные десятками AI-сканов и ручных ревью кода; разработчики Jade рекомендуют обновиться, как только это можно сделать безопасно. Детали дефектов не раскрыты; по словам компании, сам Jade не пострадал от инцидентов квартала. Отдельно сообщается, что готовится 1.0.42 с исправлениями менее серьёзных находок.
Что делать: Если вы пользуетесь Jade и на устройстве ещё нет исправлений из 1.0.41 — установите эту прошивку официальным путём при первой возможности, когда обстановка для работы с устройством безопасна (спокойное место, доступ к записанному backup); разработчики советуют не торопиться в небезопасных условиях. Тем, у кого эти исправления уже стоят, делать ничего не нужно. Замену seed источник не предписывает: о компрометации устройств или утечке ключей через эти дефекты он не сообщает.
Источник: blog.blockstream.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
В квартальном отчёте Blockstream сообщает, что прошивка Jade 1.0.41 вышла в августе и закрывает проблемы, найденные десятками AI-сканов и ручных ревью кода; разработчики Jade рекомендуют обновиться, как только это можно сделать безопасно. Детали дефектов не раскрыты; по словам компании, сам Jade не пострадал от инцидентов квартала. Отдельно сообщается, что готовится 1.0.42 с исправлениями менее серьёзных находок.
Что делать: Если вы пользуетесь Jade и на устройстве ещё нет исправлений из 1.0.41 — установите эту прошивку официальным путём при первой возможности, когда обстановка для работы с устройством безопасна (спокойное место, доступ к записанному backup); разработчики советуют не торопиться в небезопасных условиях. Тем, у кого эти исправления уже стоят, делать ничего не нужно. Замену seed источник не предписывает: о компрометации устройств или утечке ключей через эти дефекты он не сообщает.
Источник: blog.blockstream.com
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
🤬1
StartOS 0.4.1.2 вводит проверку обновлений ОС и сервисов по доверенным ключам разработчиков
Start9 объявила механизм Trusted Keys в StartOS 0.4.1.2: каждое обновление операционной системы и сервисов проверяется на подпись разработчиков, которым вы доверяете. Если обновление не подписано ни одним из выбранных вами ключей, StartOS останавливает установку и выводит предупреждение; набор доверенных разработчиков определяет сам оператор.
Что делать: Если ваш Bitcoin-узел работает на StartOS: обновитесь до 0.4.1.2, чтобы обновления ОС и сервисов проверялись по подписи, и задайте набор разработчиков, которым доверяете, — после этого неподписанные ими обновления будут остановлены с предупреждением. Тем, у кого эта версия уже установлена и доверенные ключи выбраны, действий не требуется. Ссылки на сообщение Start9 и на заметки к релизу — в посте.
Источники:
- x.com - start9labs
- github.com
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
Start9 объявила механизм Trusted Keys в StartOS 0.4.1.2: каждое обновление операционной системы и сервисов проверяется на подпись разработчиков, которым вы доверяете. Если обновление не подписано ни одним из выбранных вами ключей, StartOS останавливает установку и выводит предупреждение; набор доверенных разработчиков определяет сам оператор.
Что делать: Если ваш Bitcoin-узел работает на StartOS: обновитесь до 0.4.1.2, чтобы обновления ОС и сервисов проверялись по подписи, и задайте набор разработчиков, которым доверяете, — после этого неподписанные ими обновления будут остановлены с предупреждением. Тем, у кого эта версия уже установлена и доверенные ключи выбраны, действий не требуется. Ссылки на сообщение Start9 и на заметки к релизу — в посте.
Источники:
- x.com - start9labs
- github.com
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
😱1
Security21
Обновление по инциденту myNode уточнил состав v0.3.52: ещё два CVE и объяснение ошибки на Raspberry Pi По сообщению myNode, релиз v0.3.52 помимо смягчения CVE-2026-98432 включает обновление NodeJS для CVE-2026-111497 и обновление Bitcoin для CVE-2026-117349…
Обновление по инциденту
Для Raspberry Pi вышло ядро с фиксом TCP-уязвимости: myNode описал, как его установить
По сообщению myNode, ядро Raspberry Pi с исправлением TCP-уязвимости (CVE-2026-98432) выпущено — ранее для этой платформы фикса ядра не было и в релизе были только смягчения. Вендор описал порядок установки на v0.3.52.
Что делать: Если у вас узел myNode на Raspberry Pi с версией v0.3.52: откройте страницу настроек, нажмите «Upgrade OS Package», дождитесь перезагрузки устройства и проверьте, что предупреждение о CVE-2026-98432 исчезло. По словам вендора, ядро с фиксом подтянется и при обновлении до следующего релиза, когда он станет доступен.
Источник: x.com - mynodebtc
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
Для Raspberry Pi вышло ядро с фиксом TCP-уязвимости: myNode описал, как его установить
По сообщению myNode, ядро Raspberry Pi с исправлением TCP-уязвимости (CVE-2026-98432) выпущено — ранее для этой платформы фикса ядра не было и в релизе были только смягчения. Вендор описал порядок установки на v0.3.52.
Что делать: Если у вас узел myNode на Raspberry Pi с версией v0.3.52: откройте страницу настроек, нажмите «Upgrade OS Package», дождитесь перезагрузки устройства и проверьте, что предупреждение о CVE-2026-98432 исчезло. По словам вендора, ядро с фиксом подтянется и при обновлении до следующего релиза, когда он станет доступен.
Источник: x.com - mynodebtc
Подробнее: sec.21ideas.org
#операторы_нод #патч_есть
😱1
Forwarded from HABR FEED + OPENNET
948 уязвимостей в ядре Linux с подтверждёнными эксплоитами для получения прав root #opennet
https://www.opennet.ru/opennews/art.shtml?num=66622
Компания OpenAI раскрыла информацию о выявлении в ядре Linux 1724 уязвимостей, для 948 из которых удалось создать 1169 рабочих эксплоитов, позволяющих локальному пользователю получить root-доступ в системе, а для 291 уязвимости подготовить эксплоиты, приводящие к утечке информации. Затраты на анализ кода и генерацию эксплоитов при помощи AI-моделей GPT-5.5 и GPT-5.6 Cyber оценивается в 1.21 млн долларов, что составляет 1279 долларов за каждый эксплойт. Для сравнения вознаграждения на разработку одного подобного эксплоита на конкурсах Pwn2Own и TyphoonPWN составляет от $20000 до $70000 (рентабельность от 16 до 55 раз).
https://www.opennet.ru/opennews/art.shtml?num=66622
Компания OpenAI раскрыла информацию о выявлении в ядре Linux 1724 уязвимостей, для 948 из которых удалось создать 1169 рабочих эксплоитов, позволяющих локальному пользователю получить root-доступ в системе, а для 291 уязвимости подготовить эксплоиты, приводящие к утечке информации. Затраты на анализ кода и генерацию эксплоитов при помощи AI-моделей GPT-5.5 и GPT-5.6 Cyber оценивается в 1.21 млн долларов, что составляет 1279 долларов за каждый эксплойт. Для сравнения вознаграждения на разработку одного подобного эксплоита на конкурсах Pwn2Own и TyphoonPWN составляет от $20000 до $70000 (рентабельность от 16 до 55 раз).
😱3
Keystone: сервисы Nexus App пострадали от кибератаки, выпущена версия приложения 1.3.7
Keystone сообщает, что часть сервисов Nexus App недавно подверглась кибератаке и у части пользователей приложение какое-то время работало некорректно; команда отреагировала и усилила защиту серверов. По данным расследования вендора на текущий момент, свидетельств того, что затронуты средства пользователей или персональные данные, не найдено. Версия 1.3.7 добавляет дополнительное усиление безопасности: на Android она уже доступна в Google Play, версия для iOS, по словам вендора, ждёт проверки в App Store.
Что делать: Если вы пользуетесь Nexus App: на Android обновитесь до 1.3.7 через Google Play как можно скорее. На iOS обновление ещё не опубликовано — до его появления вендор предлагает подписывать транзакции любым сторонним кошельком из списка поддерживаемых Keystone (ссылка в посте). Перед установкой проверьте, что разработчик приложения указан как «Yanssie HK Limited» — всё остальное, по словам вендора, не их приложение. Seed-фразу и приватные ключи не вводите ни в приложение-двойник, ни по просьбам «поддержки».
Источник: x.com - KeystoneWallet
Подробнее: sec.21ideas.org
#ходлеры #эксплуатация_подтверждена
Keystone сообщает, что часть сервисов Nexus App недавно подверглась кибератаке и у части пользователей приложение какое-то время работало некорректно; команда отреагировала и усилила защиту серверов. По данным расследования вендора на текущий момент, свидетельств того, что затронуты средства пользователей или персональные данные, не найдено. Версия 1.3.7 добавляет дополнительное усиление безопасности: на Android она уже доступна в Google Play, версия для iOS, по словам вендора, ждёт проверки в App Store.
Что делать: Если вы пользуетесь Nexus App: на Android обновитесь до 1.3.7 через Google Play как можно скорее. На iOS обновление ещё не опубликовано — до его появления вендор предлагает подписывать транзакции любым сторонним кошельком из списка поддерживаемых Keystone (ссылка в посте). Перед установкой проверьте, что разработчик приложения указан как «Yanssie HK Limited» — всё остальное, по словам вендора, не их приложение. Seed-фразу и приватные ключи не вводите ни в приложение-двойник, ни по просьбам «поддержки».
Источник: x.com - KeystoneWallet
Подробнее: sec.21ideas.org
#ходлеры #эксплуатация_подтверждена
😱1
Blink: для вывода средств из Spark на on-chain нужен снимок кошелька — одной seed-фразы недостаточно, в 3.0.46 он сохраняется автоматически
Blink сообщает: если операторы Spark исчезнут, 12 слов сами по себе не вернут биткоин — нужен снимок состояния кошелька, сделанный, пока операторы были онлайн. Начиная с выпуска 3.0.46 приложение хранит такой снимок: он создаётся после первой транзакции, обновляется после каждого платежа и сохраняется вместе с облачной копией. В июле вендор сам провёл выход в одностороннем порядке на mainnet с реальным кошельком и 100 000 сатоши открытым инструментарием и описал все сбои; разбор — по ссылкам в посте.
Что делать: Если вы держите биткоин на Spark-балансе Blink: обновитесь до выпуска с этим механизмом (3.0.46), выполните платёж или транзакцию, чтобы снимок создался, и убедитесь, что облачная копия включена и дата снимка свежая — проверяйте её после каждого пополнения. Не рассчитывайте на одни 12 слов для возврата этих средств on-chain. Если снимка нет и обновиться нельзя, не наращивайте остаток на Spark. Тем, у кого выпуск уже установлен и снимок обновляется, дополнительных действий не требуется.
Источники:
- x.com - blinkbtc
- blink.sv
- blink.sv
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Blink сообщает: если операторы Spark исчезнут, 12 слов сами по себе не вернут биткоин — нужен снимок состояния кошелька, сделанный, пока операторы были онлайн. Начиная с выпуска 3.0.46 приложение хранит такой снимок: он создаётся после первой транзакции, обновляется после каждого платежа и сохраняется вместе с облачной копией. В июле вендор сам провёл выход в одностороннем порядке на mainnet с реальным кошельком и 100 000 сатоши открытым инструментарием и описал все сбои; разбор — по ссылкам в посте.
Что делать: Если вы держите биткоин на Spark-балансе Blink: обновитесь до выпуска с этим механизмом (3.0.46), выполните платёж или транзакцию, чтобы снимок создался, и убедитесь, что облачная копия включена и дата снимка свежая — проверяйте её после каждого пополнения. Не рассчитывайте на одни 12 слов для возврата этих средств on-chain. Если снимка нет и обновиться нельзя, не наращивайте остаток на Spark. Тем, у кого выпуск уже установлен и снимок обновляется, дополнительных действий не требуется.
Источники:
- x.com - blinkbtc
- blink.sv
- blink.sv
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
Security21
Keystone: сервисы Nexus App пострадали от кибератаки, выпущена версия приложения 1.3.7 Keystone сообщает, что часть сервисов Nexus App недавно подверглась кибератаке и у части пользователей приложение какое-то время работало некорректно; команда отреагировала…
Обновление по инциденту
Keystone: обновление приложения Nexus для iOS опубликовано
Keystone сообщает, что ожидавшееся обновление iOS-приложения теперь доступно, и советует обновиться. Сообщение опубликовано в той же ветке, что и уведомление о кибератаке на сервисы Nexus App; номер версии для iOS вендор в этом сообщении не называет.
Что делать: Если вы пользуетесь Nexus App на iOS: обновите приложение в App Store сейчас — обходной путь с подписанием через сторонний поддерживаемый кошелёк больше не нужен. Перед установкой проверьте, что разработчик указан как «Yanssie HK Limited»; seed-фразу и приватные ключи не вводите ни в приложение-двойник, ни по просьбам «поддержки».
Источники:
- x.com - KeystoneWallet
- x.com - KeystoneWallet
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Keystone: обновление приложения Nexus для iOS опубликовано
Keystone сообщает, что ожидавшееся обновление iOS-приложения теперь доступно, и советует обновиться. Сообщение опубликовано в той же ветке, что и уведомление о кибератаке на сервисы Nexus App; номер версии для iOS вендор в этом сообщении не называет.
Что делать: Если вы пользуетесь Nexus App на iOS: обновите приложение в App Store сейчас — обходной путь с подписанием через сторонний поддерживаемый кошелёк больше не нужен. Перед установкой проверьте, что разработчик указан как «Yanssie HK Limited»; seed-фразу и приватные ключи не вводите ни в приложение-двойник, ни по просьбам «поддержки».
Источники:
- x.com - KeystoneWallet
- x.com - KeystoneWallet
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
😱1
LNbits просит всех операторов отключить расширение Paywall
LNbits выпустил предупреждение для всех операторов: при включённом расширении Paywall его следует немедленно отключить, пока команда исследует возможный баг. Характер дефекта, затронутые версии и наличие исправления источник не называет; подтверждения эксплуатации в сообщении нет.
Что делать: Если на вашем инстансе LNbits включено расширение Paywall — отключите его сейчас, как просит проект, и не включайте обратно до сообщения LNbits об итогах разбора. Остальных расширений и установок без Paywall просьба не касается; ссылка на сообщение проекта в посте.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты
LNbits выпустил предупреждение для всех операторов: при включённом расширении Paywall его следует немедленно отключить, пока команда исследует возможный баг. Характер дефекта, затронутые версии и наличие исправления источник не называет; подтверждения эксплуатации в сообщении нет.
Что делать: Если на вашем инстансе LNbits включено расширение Paywall — отключите его сейчас, как просит проект, и не включайте обратно до сообщения LNbits об итогах разбора. Остальных расширений и установок без Paywall просьба не касается; ссылка на сообщение проекта в посте.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты
LNbits призывает немедленно остановить все серверы LNbits из-за волны атак
Проект LNbits сообщил о волне атак и о том, что готовится ряд патчей безопасности; до их выпуска команда советует остановить серверы из предосторожности. Детали уязвимостей и перечень затронутых версий в сообщении не приведены, обновления обещаны позже.
Что делать: Если вы держите собственный инстанс LNbits (в том числе для приёма платежей), остановите его сейчас, не дожидаясь подробностей, и держите выключенным до выхода патчей — так советует сам проект. Следите за официальными анонсами (ссылка на сообщение в посте) и обновляйтесь сразу после публикации исправлений. Средства на кошельках LNbits считайте находящимися под риском: по возможности сведите остатки на инстансе к минимуму. Не затронуты те, кто LNbits не разворачивает.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты #эксплуатация_подтверждена
Проект LNbits сообщил о волне атак и о том, что готовится ряд патчей безопасности; до их выпуска команда советует остановить серверы из предосторожности. Детали уязвимостей и перечень затронутых версий в сообщении не приведены, обновления обещаны позже.
Что делать: Если вы держите собственный инстанс LNbits (в том числе для приёма платежей), остановите его сейчас, не дожидаясь подробностей, и держите выключенным до выхода патчей — так советует сам проект. Следите за официальными анонсами (ссылка на сообщение в посте) и обновляйтесь сразу после публикации исправлений. Средства на кошельках LNbits считайте находящимися под риском: по возможности сведите остатки на инстансе к минимуму. Не затронуты те, кто LNbits не разворачивает.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#операторы_нод #мерчанты #эксплуатация_подтверждена
Electrum выпустил версию 4.8.4 и называет её очередным security-обновлением
Официальный аккаунт Electrum сообщил о релизе 4.8.4, охарактеризовав его как ещё одно обновление безопасности; release notes и сборки вендор публикует по ссылке в посте. Какой именно дефект закрыт, в самом сообщении не сказано.
Что делать: Если вы пользуетесь Electrum: обновитесь до 4.8.4, скачивая сборку только по официальной ссылке вендора в посте и сверяя подпись дистрибутива. На 4.8.4 дополнительных действий не требуется.
Источники:
- x.com - ElectrumWallet
- electrum.org
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Официальный аккаунт Electrum сообщил о релизе 4.8.4, охарактеризовав его как ещё одно обновление безопасности; release notes и сборки вендор публикует по ссылке в посте. Какой именно дефект закрыт, в самом сообщении не сказано.
Что делать: Если вы пользуетесь Electrum: обновитесь до 4.8.4, скачивая сборку только по официальной ссылке вендора в посте и сверяя подпись дистрибутива. На 4.8.4 дополнительных действий не требуется.
Источники:
- x.com - ElectrumWallet
- electrum.org
Подробнее: sec.21ideas.org
#ходлеры #патч_есть
Security21
LNbits призывает немедленно остановить все серверы LNbits из-за волны атак Проект LNbits сообщил о волне атак и о том, что готовится ряд патчей безопасности; до их выпуска команда советует остановить серверы из предосторожности. Детали уязвимостей и перечень…
Обновление по инциденту
LNbits отключил все инстансы на своём хостинге из предосторожности
Команда LNbits сообщила, что в качестве меры предосторожности отключила все инстансы на собственном хостинговом сервисе; по заявлению проекта работа сервисов должна возобновиться в течение 24 часов.
Что делать: Если вы пользовались размещённым у проекта инстансом LNbits, в том числе для приёма платежей, рассчитывайте на недоступность до суток по заявлению команды и подготовьте альтернативный способ приёма и выплат на это время. Доверяйте только официальным анонсам проекта (ссылка в посте); не вводите существующий seed или реквизиты кошелька на сторонних страницах, предлагающих «восстановить доступ» или перенести средства.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#ходлеры #мерчанты
LNbits отключил все инстансы на своём хостинге из предосторожности
Команда LNbits сообщила, что в качестве меры предосторожности отключила все инстансы на собственном хостинговом сервисе; по заявлению проекта работа сервисов должна возобновиться в течение 24 часов.
Что делать: Если вы пользовались размещённым у проекта инстансом LNbits, в том числе для приёма платежей, рассчитывайте на недоступность до суток по заявлению команды и подготовьте альтернативный способ приёма и выплат на это время. Доверяйте только официальным анонсам проекта (ссылка в посте); не вводите существующий seed или реквизиты кошелька на сторонних страницах, предлагающих «восстановить доступ» или перенести средства.
Источник: x.com - lnbits
Подробнее: sec.21ideas.org
#ходлеры #мерчанты