Eclair telah menggabungkan dua pembaikan bagi mengurangkan risiko nod menanggung caj pelombong yang terlalu tinggi semasa pembiayaan dan splice saluran Lightning. Punca yang ditangani ialah permintaan rakan niaga untuk menaikkan yuran transaksi serta kemungkinan backend Bitcoin membina transaksi dengan yuran luar biasa. Perubahan itu dimasukkan ke cabang utama projek pada 2 dan 5 Oktober. Namun, setakat 12 Oktober, keluaran terkini yang disenaraikan masih v0.14.3, yang diterbitkan pada September; belum dapat dipastikan sama ada pembaikan tersebut sudah tersedia dalam keluaran rasmi.
Eclair ialah perisian nod Lightning yang dibangunkan oleh ACINQ. Dua isu ini melibatkan saluran pembiayaan dua hala, splice untuk melaraskan dana saluran, dan mod penandatangan Eclair-signer. Sebarang kerugian yang berlaku mungkin dibayar sebagai yuran kepada pelombong rangkaian, bukannya dipindahkan terus ke alamat penyerang.
PR #3388 mengehadkan kenaikan yuran oleh rakan niaga
Pembaikan pertama, PR #3388, menangani transaksi yuran gantian (RBF) yang dicadangkan oleh rakan niaga. Semasa membuka saluran pembiayaan dua hala atau melaraskan dana melalui splice, rakan niaga boleh mencadangkan transaksi gantian dengan kadar yuran lebih tinggi. Sebelum pembaikan ini, jika nod Eclair turut menyumbang dana, nod itu mungkin perlu membayar yuran lebih tinggi bagi bahagiannya tanpa had atau bajet yuran yang jelas.
Keadaan ini membolehkan rakan niaga yang berniat jahat meminta nod Eclair yang menyumbang dana menanggung kadar yuran pelombong setinggi mana pun, sedangkan rakan niaga itu sendiri tidak perlu membayar bahagian yuran tersebut. Kerugian nod akan dibayar kepada pelombong sebagai yuran, bukan diserahkan terus kepada rakan niaga.
Selepas pembaikan, Eclair akan menolak permintaan jika kadar yuran melebihi had kadar pembiayaan yang dicadangkannya kepada rakan niaga. Had ini tidak terpakai apabila rakan niaga membeli kecairan dan membayar yuran bagi pihak Eclair, atau apabila nod Eclair tidak menyumbang dana kepada transaksi. Dalam kedua-dua keadaan itu, nod Eclair tidak menanggung kos yuran yang menjadi sasaran pembaikan ini.
PR #3390 menyemak yuran sebenar dalam mod Eclair-signer
Pembaikan kedua, PR #3390, berkaitan mod Eclair-signer. Dalam mod ini, backend Bitcoin Core, bitcoind, memilih bitcoin dan membina transaksi, manakala Eclair menyimpan kunci peribadi untuk menandatangani transaksi. Penyimpanan kunci tandatangan sahaja tidak melindungi nod daripada backend yang terjejas: backend mungkin melaporkan bahawa yuran masih dalam bajet, walaupun transaksi sebenar mengenakan yuran lebih tinggi, contohnya dengan membuang output baki.
Dalam pengiraan transaksi Bitcoin, nilai input yang tidak diagihkan kepada mana-mana output menjadi yuran pelombong. Oleh itu, jika output baki dibuang, nod boleh kehilangan dana tanpa dana itu semestinya masuk ke alamat yang dikawal penyerang.
Pembaikan ini menetapkan bajet yuran berdasarkan jumlah syiling yang akan dibelanjakan dan menggunakan ID transaksi untuk mendapatkan transaksi berkaitan serta mengesahkan jumlah input. Eclair kemudian membandingkan yuran yang dilaporkan backend dengan yuran sebenar, lalu mengenakan bajet pada yuran sebenar dan bukannya bergantung semata-mata pada angka daripada backend. Ia turut menyemak sama ada bahagian pembiayaan yang dibina semula oleh Eclair membayar yuran sah yang sama, dan menolak transaksi jika kedudukan output baki tidak sah.
Pembaikan Oktober belum disenaraikan dalam keluaran terkini
Kedua-dua perubahan menangani had yuran dalam pembiayaan dua hala dan splice, serta pengesahan yuran transaksi dalam mod penandatangan. Isu ini berbeza daripada kerentanan terdahulu yang melibatkan yuran penutupan koperatif dan masalah penafian perkhidmatan selepas nod dimulakan semula yang didedahkan pada 2 Oktober.
Setakat 12 Oktober, halaman keluaran Eclair masih menyenaraikan v0.14.3 dari September sebagai versi terkini. Rekod penggabungan ke cabang utama tidak bermakna pembaikan itu sudah disertakan dalam pakej keluaran. Pengendali nod Eclair perlu memastikan sama ada binaan yang mereka gunakan mengandungi perubahan Oktober tersebut.