นักพัฒนาเปิดเผยช่องโหว่ใน Bitcoin Core v25.0 และเรียกร้องให้ผู้ให้บริการโหนดอัปเดตซอฟต์แวร์เพื่อแก้ไข

Odaily แพลนเน็ต เดลี่ นักพัฒนา Bitcoin เพิ่งเปิดเผยรายละเอียดของช่องโหว่ซอฟต์แวร์ร้ายแรงอีกครั้ง จากข้อมูลของนักพัฒนา Core อาวุโส คอมพิวเตอร์ที่บ้านและธุรกิจมากกว่า 13% ทั่วโลกที่ใช้กฎ Bitcoin มีความเสี่ยงที่จะถูกปิดเครื่องจากระยะไกล ช่องโหว่ชื่อ CVE-2024-35202 ส่งผลกระทบต่อโหนด Bitcoin ที่ใช้งานซอฟต์แวร์ Core เวอร์ชันก่อน 25.0 โหนดที่ไม่ได้รับการอัปเดตเป็นอย่างน้อย 25.0 ช่วยให้ผู้โจมตีสามารถใช้ประโยชน์จากการยืนยันในตรรกะซอฟต์แวร์จากระยะไกลที่จัดการข้อความธุรกรรมบล็อก (' blocktxn ') เป็นที่น่าสังเกตว่าช่องโหว่นี้แทบจะไม่มีประโยชน์ทางการเงินสำหรับผู้โจมตีทั่วไปเลย โดยเฉพาะอย่างยิ่งช่องโหว่นี้เกิดจากโปรโตคอลบล็อกขนาดกะทัดรัดของ Core ซึ่งใช้ตัวระบุธุรกรรมที่สั้นลงเพื่อลดการใช้แบนด์วิดท์อินเทอร์เน็ต ผู้โจมตีสามารถก่อให้เกิดข้อขัดแย้งในตัวระบุเหล่านี้ ส่งผลให้โหนดร้องขอการบล็อกแบบเต็ม แม้ว่าการขอบล็อกแบบเต็มและไม่มีการย่อบล็อกจะเป็นข้อควรระวังด้านความปลอดภัย แต่ซอฟต์แวร์เวอร์ชันก่อน 25.0 มีข้อบกพร่องในตรรกะในการจัดการข้อความ blocktxn ที่ตามมา กล่าวโดยสรุป โหนดสามารถถูกบังคับให้อยู่ในสถานะที่ไม่ถูกต้องได้โดยการจัดการลอจิกเกต ส่งผลให้โหนดเสียหายโดยสิ้นเชิง ช่องโหว่ดังกล่าวถูกค้นพบและเปิดเผยโดย Niklas Gögge ซึ่งเป็นผู้ให้บริการแพตช์ดังกล่าวใน Bitcoin Core v25.0 เขาได้แก้ไขช่องโหว่ในคำขอดึง Bitcoin Core หมายเลข 26898 และนักพัฒนารายอื่นมีเวลาจนถึงวันที่ 26 พฤษภาคม 2023 เพื่อรวมเข้ากับการใช้งานจริง ข้อมูล BitNodes.io แสดงให้เห็นว่า 13.7% ของ 18,843 โหนดที่ทำงานบนเครือข่าย Bitcoin มีความเสี่ยงที่จะถูกโจมตี นักพัฒนาขอแนะนำให้ผู้ดำเนินการโหนดทั้งหมดอัปเดตซอฟต์แวร์เพื่อแก้ไขช่องโหว่นี้ ซอฟต์แวร์ Bitcoin Core เวอร์ชันล่าสุดคือ 28.0 (โปรโตส)