Eclair lança v0.14.4 e bloqueia ataque de navegador contra nós Lightning

A Eclair, empresa que mantém o software de nós Lightning do Bitcoin, lançou a versão v0.14.4 em 15 de outubro para bloquear páginas web maliciosas que conseguiam emitir comandos autenticados em um nó através do navegador do operador. A exposição dependia de duas condições ao mesmo tempo: uma API do Eclair habilitada e alcançável a partir do navegador do operador, e credenciais de autenticação HTTP Basic já em cache nesse navegador. A API do nó pode ler o estado do nó, abrir e fechar canais e enviar e receber pagamentos.

As notas de lançamento da versão explicam o mecanismo: com a autenticação em cache, uma página maliciosa consegue submeter um formulário HTML comum à API do nó, e o navegador anexa automaticamente as credenciais salvas. O atacante não consegue ler a resposta, mas o comando autenticado chega ao nó.

O patch responde com HTTP 403 antes de a rota da API rodar sempre que a requisição traz um cabeçalho Origin, qualquer que seja o seu valor. A restrição também atinge interfaces legítimas de navegador, inclusive as hospedadas na mesma origem da API, e esses frontends passam a exigir um backend intermediário entre o navegador e o Eclair. O acesso comum pela linha de comando continua funcionando, porque nem o curl nem o eclair-cli enviam o cabeçalho Origin.

O mantenedor pm47 ressalva que a verificação de Origin não substitui autenticação e restrições de rede: um cliente que não seja navegador pode simplesmente omitir o cabeçalho, e a ausência dele não prova que a requisição esteja autorizada. A recomendação é que a API permaneça ligada ao loopback, restringindo o acesso de rede à máquina local. A correção foi fundida em 15 de setembro no pull request 3380 e chega na v0.14.4 junto com reparos de taxa de funding e de assinante. Os mantenedores indicam atualizar, e dizem que o operador pode parar o Eclair, instalar a atualização e reiniciar sem fechar os canais Lightning.

O que já vale é o corte do vetor pelo navegador. O que não está resolvido é a exposição da API em si, que continua dependendo de autenticação e de vínculo de rede bem configurados.