lnd 0.21.6 schaltet MPTCP-Listener ab und sperrt einen Kernel-Angriffsweg
Victoria Shinder1 Min. LesezeitDas lnd-Projekt veröffentlichte am späten 30. Oktober v0.21.6-beta und v0.20.7-beta als Sicherheitsreleases für Betreiber unter Linux. Anlass ist CVE-2026-98432, ein Use-after-free im IPv4-TCP-Stack des Linux-Kernels. Der Fehler betrifft nicht nur Multipath TCP, doch laut Release Notes braucht der vorgeführte Fernangriff einen MPTCP-Listener, und Go ab Version 1.24 aktiviert MPTCP-Listener standardmäßig.
Die neuen Versionen schalten MPTCP-Listener in lnd standardmäßig ab und schließen damit den vorgeführten Weg über lnd. Das Projekt betont, dass dies eine Abschwächung ist, keine Behebung: Nur der Kernel-Patch behebt den Fehler. Linux-Betreiber sollen aktualisieren, MPTCP mit sysctl net.mptcp.enabled=0 auf dem ganzen Host abschalten, weil andere Dienste auf der Maschine nicht abgedeckt sind, und einen gepatchten Kernel installieren, sobald ihre Distribution ihn ausliefert.
Wer noch nicht aktualisieren kann, startet das vorhandene Binary mit GODEBUG=multipathtcp=0, was Gos Standard-MPTCP-Listener abschaltet; vor multipathtcp=1 warnen die Notes, solange der Kernel nicht gepatcht ist. Windows und macOS sind nicht betroffen, Datenbankmigrationen enthält das Release nicht.
Was das bedeutet
Ein Lightning-Knoten ist eine Hot Wallet mit offenem Port, ein aus der Ferne erreichbarer Kernel-Fehler ist also ein Problem für Gelder, nicht nur für die Verfügbarkeit. Ungewöhnlich ist der Weg: Die Angriffsfläche entstand durch eine Voreinstellung der Laufzeitumgebung der Sprache, nicht durch eine Entscheidung von lnd. Das lohnt sich über lnd hinaus zu prüfen, denn jeder Go-Dienst auf demselben Host, der einen Listener öffnet, erbt dieselbe Voreinstellung.