Bitcoin Core виправляє три вразливості, включаючи аварійне завершення роботи вузла на не-Linux системах.

28 жовтня команда Bitcoin Core повідомила про виявлення трьох вразливостей у програмному забезпеченні та випустила виправлення в версіях 29.5, 30.4, 31.2 і 32.1.

Одна з вразливостей дозволяє зловмиснику спричинити збої у вузлах під управлінням Windows, macOS та BSD. Програмне забезпечення Bitcoin Core дозволяє користувачам самостійно перевіряти блокчейн Біткоїна та включає гаманець.

Дві з вразливостей, що викликають збільшення використання пам'яті, мають середній рівень небезпеки, а третя – пов'язана з даними блокчейну – низький.

У повідомленнях не вказано, чи були зафіксовані випадки експлуатації. Для операторів на гілках 29.x, 30.x і 31.x виправлені версії - 29.5, 30.4 і 31.2 відповідно.

Останньою версією є 32.1.

Операторам, які користуються ранніми версіями, рекомендується оновитися. Вразливість, що не стосується Linux, дозволяє зловмиснику надсилати спеціально маркований мережевий трафік для обходу обмежень на обсяг вхідних даних, що обробляються вузлом.

У результаті черга може зростати без обмежень, поки в вузлі не закінчиться пам'ять.

Linux не під впливом цієї конкретної вразливості, оскільки використовує інший механізм моніторингу мережевих з'єднань. Друга вразливість дозволяє зловмиснику видавати себе за старий протокол, уникнувши відключення.

Це може призвести до збільшення використання пам'яті до 2 МБ на годину для кожного вхідного вузла.

Вузли, які налаштовані на пересилання лише блоків, менше піддаються цій вразливості. Третя вразливість стосується "файлів скасування", які зберігають інформацію, необхідну для відновлення блоків під час реорганізації блокчейну.

Майнер може перевищити обмеження на розмір цих файлів, що призведе до пошкодження даних або збоїв у вузлах.

Хоча експлуатація цієї вразливості оцінюється як малоймовірна, вона все ж може мати місце. Команда Bitcoin Core підкреслила, що вразливості були виявлені завдяки автоматизованому скануванню на основі ШІ проекту Spiral’s Project Loupe.

Операторам рекомендовано повністю закрити Bitcoin Core перед установкою або заміною програмного забезпечення.

Також зазначається, що версії 29.x і старші більше не отримуватимуть оновлень.