Electrum 4.8.4, Lightning onion mesajı açığını giderdi

Electrum, Bitcoin (BTC) cüzdan yazılımının 4.8.4 sürümünü yayımladı ve Lightning Network’te onion mesajlarının işlenmesiyle ilgili bir güvenlik açığını giderdi.

Electrum, 6 Kasım tarihli resmi değişiklik kaydında 4.8.4’ü güvenlik güncellemesi olarak sınıflandırdı. Sürüm, Electrum’un resmi sitesinde de en güncel sürüm olarak listeleniyor.

Değiştirilmiş bir onion mesajı herhangi bir kaynaktan geldiğinde Electrum, kanal eşinin bağlantısını kesebiliyordu. Değişiklik kaydında bu mesaj işleme sorunu bir güvenlik düzeltmesi olarak belirtildi.

Kanal eşi, cüzdanın Lightning ödeme kanalı açtığı karşı düğümdür. Bağlantının kesilmesi, cüzdan ile bu düğümün kanal üzerinden iletişimini etkileyebilir.

4.8.4, geçersiz onion mesajlarının düzgün işlenmesini sağlıyor. Gerçek bir kullanım senaryosu uygulanana kadar alınan tüm onion mesajları yok sayılıyor.

Güncelleme ayrıca, aynı düğüm kimliğini iki kez içeren kanal duyurularının reddedilmesini sağlıyor. Bu değişiklik, onion mesajı düzeltmesinden ayrı olarak Lightning işlevlerine uygulandı.

Cüzdan kurtarma hatası da giderildi. 2.0 öncesi bazı kurtarma ifadeleri, tek sayıda karakter içeren onaltılık dizeler olarak yorumlandığı için kurtarma işlemi başarısız oluyordu. Değişiklik kaydına göre sorun 4.6.1’den beri görülüyordu.

Yerel bir işlem silinirken alt işlemlerin hesaplanmasının yavaşlaması ve işlem zinciri uzadığında özyineleme hatası oluşması gibi işlem hesaplama sorunları da düzeltildi. Masaüstü sürümünde, çok sayıda veriye sahip cüzdanların “Coin” sekmesinin donmasına yol açan yavaş üst işlem hesaplaması da ele alındı.

Gönderim sekmesindeki yükleme göstergesinin ekranda kalması ve cüzdan olmayan ya da okunamayan dosyalar açılırken uygulamanın çökmesi sorunları giderildi. Artık bu tür dosyalar açıldığında hata mesajı gösteriliyor.

Android sürümünde, işlem ayrıntıları ekranında işlem bulunamadığında uygulamanın kapanması ve coin ya da adres listelerinde eski, kullanılmayan harcanmamış işlem çıktılarının (UTXO) görünmesi sorunları düzeltildi. İşlem girdisine dokunarak ilgili adresi veya fonlama işlemini açma ve adres bazında işlem geçmişini görüntüleme özellikleri de eklendi.

Önceki 4.8.3 sürümünde, kötü amaçlı bir sunucunun kullanıcının henüz yayınladığı işlemi değiştirilmiş biçimde göstererek onu ücret artırmaya yöneltebilmesine yol açan ayrı bir güvenlik açığı giderilmişti. TokenPost, bu açığın istismar edildiği vakaları daha önce haberleştirmişti.

Electrum, kurulum dosyalarının yalnızca resmi sitesinden indirilmesini ve GPG imzasının doğrulanmasını öneriyor.