Критична вразливість у Bitcoin Core 24.0.1 і нижче впливає на 17% повних вузлів

20 вересня розробники Bitcoin Core випустили нове попередження про високий ризик щодо вразливості програмного забезпечення в одному з шести вузлів Bitcoin, повідомляє Protos. У четвер співробітники проекту з відкритим кодом Bitcoin Core, який відповідає за підтримку програмного забезпечення, що працює на більш ніж 98 відсотках доступних повних вузлів, розкрили, що програмне забезпечення, яке працює на 17 відсотках вузлів мережі, має значні проблеми з безпекою. Зокрема, все програмне забезпечення нижче версії Bitcoin Core 24.0.1 піддається ризику. За оцінками моніторингу Bitnodes, вразливість відмови в обслуговуванні впливає приблизно на 3,330 з 19,200 самопроголошених агентів користувачів доступних вузлів Bitcoin Complete.

У програмному забезпеченні Bitcoin Core до версії 24.0.1 зловмисники могли використовувати ланцюги заголовків з низькою складністю для спаму вузлів. Примушуючи вузли завантажувати та зберігати надзвичайно довгі ланцюги заголовків, атака могла призвести до збою вузла, зайнявши занадто багато пропускної здатності або місця на пристрої. Розробники виправили цю вразливість у запиті на злиття (PR) номер 25717 і об'єднали його у виробництво 12 грудня 2022 року з випуском v24.0.1. Поточна версія програмного забезпечення вузла Bitcoin Core (зараз 27.1) включає виправлення для цієї та інших вразливостей.

Хоча ця вразливість є досить серйозною, у публічних записах відомо дуже мало випадків атак, які використовують цю вразливість. Оскільки вартість генерації та трансляції ланцюга заголовків блоку для виконання атаки відмови в обслуговуванні є досить високою, ця вразливість має мало фінансового інтересу для зловмисників.