تصحيحات في Bitcoinjs-lib لثغرتين تؤثران على حسابات رسوم المعدنين

قامت Bitcoinjs-lib بتصحيح ثغرتين قد تؤديان إلى حسابات غير صحيحة لرسوم المعدنين في تطبيقات البيتكوين. تم إصدار التحديثات الأمنية في 26 أكتوبر، وهي مدرجة في الإصدارات 5.2.2 و6.1.9 و7.0.4. تؤثر المشكلات بشكل أساسي على معاملات البيتكوين الموقعة جزئيًا (PSBTs)، والتي تم تعريفها بواسطة BIP 174 لمشاركة معلومات المعاملات والتوقيعات. قد تقوم التطبيقات التي تستخدم هذه المكتبات بحساب الرسوم بشكل خاطئ إذا وثقت في حسابات bitcoinjs-lib دون تحقق مستقل. تسمح الثغرة الأولى باستخدام قيم إدخال مختلفة للتوقيع وحساب الرسوم، مما يؤدي إلى تباينات كبيرة. على سبيل المثال، أظهرت تجربة أن الرسوم الحقيقية البالغة 900,000,000 ساتوشي تم الإبلاغ عنها فقط كـ 200 ساتوشي. تتعلق الثغرة الثانية بسجلات قيم الإدخال المفقودة، مما يتسبب في اعتبار حاسبة الرسوم تلك المدخلات صفرًا، مما يؤدي إلى تقارير رسوم مضللة. أشار مثال إلى رسوم حقيقية قدرها 91,000 ساتوشي تم الإبلاغ عنها كـ 1,000 ساتوشي. تتطلب الإصدارات المصححة الآن قيمة لكل إدخال أثناء حساب الرسوم وترفض السجلات المتضاربة. تشمل الإصدارات المتأثرة الإصدارات من 5.2.0 إلى 5.2.1، ومن 6.0.0 إلى 6.1.8، ومن 7.0.0 إلى 7.0.3. يجب على المستخدمين الذين لا يستطيعون الترقية التحقق من قيم المخرجات بشكل مستقل ورفض السجلات المتضاربة قبل التوقيع.