BTCPay Server 2.4.5 chặn yêu cầu tới mạng riêng, siết phê duyệt hoàn tiền

BTCPay Server 2.4.5 mặc định chặn yêu cầu gửi tới mạng riêng và tăng cường quyền phê duyệt hoàn tiền cho khoản thanh toán vượt quá giá trị hóa đơn. Bản cập nhật cũng giảm các truy vấn không cần thiết khi tạo hóa đơn.

Dự án BTCPay Server đã phát hành phiên bản 2.4.5. Ghi chú phát hành cho biết các kết nối Lightning, yêu cầu LNURL, địa chỉ thông báo hóa đơn và webhook nay mặc định không thể gửi yêu cầu tới mạng riêng. Giả mạo yêu cầu phía máy chủ (SSRF) là hình thức kẻ tấn công lợi dụng máy chủ để tiếp cận tài nguyên trong mạng nội bộ.

Đơn vị vận hành kết nối các dịch vụ riêng cần khai báo những địa chỉ được phép trong danh sách cho phép ssrfexceptions. Cơ chế chặn mặc định giúp giảm các đường dẫn từ yêu cầu bên ngoài tới dịch vụ nội bộ, nhưng những tích hợp hiện có sẽ cần cấu hình lại các địa chỉ được phép.

Quy trình phê duyệt hoàn tiền cũng được thay đổi. Nhân viên không có quyền tạo khoản thanh toán đầy đủ đã được phê duyệt sẽ không thể tự động duyệt hoàn tiền cho phần thanh toán vượt giá trị hóa đơn; cần có người dùng khác phê duyệt.

Thông tin thanh toán, trạng thái và biên lai trên trang hóa đơn công khai sẽ bị ẩn một tháng sau khi kết thúc thời gian giám sát. Người dùng có quyền xem hóa đơn vẫn có thể truy cập thông tin sau thời điểm đó.

Quy trình tạo hóa đơn đã giảm các bước truy vấn không cần thiết tới nút Lightning và phí giao dịch trên chuỗi. Ghi chú phát hành cho biết tốc độ tạo hóa đơn được cải thiện “rõ rệt”, nhưng không nêu mức rút ngắn cụ thể.

Những đơn vị vận hành Tor trong môi trường Docker cần kiểm tra lại cấu hình truy cập. Tor đã trở thành tính năng tùy chọn trong thay đổi lần này. Nếu trước đây dịch vụ được cung cấp qua địa chỉ .onion, cần bật lại cấu hình để duy trì kết nối.

Phiên bản mới sửa lỗi tạo hóa đơn do tái sử dụng đích thanh toán và vấn đề về phạm vi tìm kiếm, đồng thời ngăn yêu cầu giả mạo khi trạng thái thanh toán được thay đổi trong trình duyệt. URL thông báo hóa đơn bắt đầu được loại bỏ, với webhook là phương thức thay thế. Các đơn vị vận hành có plugin riêng hoặc tích hợp API cần rà soát những thay đổi về quyền và cách hoạt động.

BTCPay Server là phần mềm mã nguồn mở giúp doanh nghiệp xử lý thanh toán bằng Bitcoin(BTC) trên máy chủ riêng. Trước đó, lỗ hổng của BTCPay Server đã bị khai thác trong một vụ tấn công khiến tiền của người dùng bị đánh cắp. Bản phát hành 2.4.5 lần này bổ sung biện pháp phòng vệ SSRF và thay đổi quyền hạn cũng như cách xử lý hóa đơn.