Trois vulnérabilités découvertes dans Bitcoin Core

• Les versions 29.5, 30.4, 31.2 et 32.1 de Bitcoin Core disposent déjà de correctifs de sécurité.
• Les découvertes s'inscrivent dans une récente crise mondiale de cybersécurité.

Le secteur informatique traverse ce que Charles Guillemet, directeur de la technologie de Ledger, a qualifié de paysage terrifiant de cybersécurité mondiale.

Après une vague incessante d'attaques qui, selon des rapports précédents de CriptoNoticias, ont compromis tout, de l'infrastructure web basée sur PHP aux outils institutionnels, l'équipe de développement de Bitcoin Core a révélé l'existence de trois nouvelles vulnérabilités dans le logiciel client le plus utilisé du réseau.

Bien que le protocole Bitcoin ait prouvé qu'il était complètement immunisé contre les défaillances techniques externes qui ont vulnérabilisé une grande partie des serveurs Internet pendant ce mois critique, le noyau de son propre système a également été confronté à des menaces.

Paradoxalement, alors que des groupes criminels utilisaient l'intelligence artificielle pour infiltrer d'énormes réseaux d'entreprise tout au long d'octobre, dans ce cas, l'automatisation s'est avérée vitale pour la défense.

Les défauts dans le code ont été identifiés de manière proactive grâce à un scan automatisé de modèles de langage dirigé par le Project Loupe, une initiative de sécurité de la société Spiral. À cet effort se sont ajoutés les rapports parallèles de chercheurs comme L0rinc, membre de l'équipe Bitcoin Red Team, et Andrew Dorman.

Les failles comprennent deux défauts de gravité moyenne dus à l'épuisement de la mémoire et un de gravité faible dans les fichiers de la chaîne. Le premier défaut consiste en une croissance illimitée de la mémoire causée par des pairs qui simulent ne pas prendre en charge la norme de communication BIP 31.

En retardant stratégiquement la lecture des messages et en évitant le système qui déconnecte les nœuds inactifs après 20 minutes, un attaquant peut faire croître la file de données sans limite, consommant jusqu'à 5 Mo par heure sur des connexions sortantes.

La deuxième vulnérabilité affecte exclusivement les plateformes qui ne fonctionnent pas sous le système Linux. Les attaquants peuvent envoyer des données urgentes via le protocole TCP pour contourner le mécanisme de limite de traitement et enqueueter une quantité démesurée d'informations.

Cette action permet de bloquer de manière triviale tout nœud fonctionnant sur des systèmes d'exploitation Windows, macOS ou BSD. Les utilisateurs de Linux ne sont pas affectés car le programme utilise un code de surveillance différent sur ce système.

Le troisième défaut implique un débordement des données de retour, qui sont utilisées pour déconnecter des transactions lors d'une réorganisation de la chaîne (reorg). Ces fichiers étaient stockés en entiers de 32 bits et n'avaient pas de limite formelle de taille. Un mineur pourrait générer des blocs malveillants dont le volume de données dépasse 4 GiB, provoquant l'effondrement du registre et la nouvelle information écrasant l'ancienne. Lors d'un reorg, le nœud attaqué perdrait la capacité de lire l'information et s'éteindrait automatiquement.

Les correctifs ont été lancés les 27 et 28 octobre via les versions 29.5, 30.4, 31.2 et 32.1 de Bitcoin Core.

Malgré ces mises à jour structurelles, les ordinateurs avec des systèmes d'exploitation de 32 bits et les nœuds qui stockent des blocs sur des disques au format FAT32 restent exposés aux débordements en raison des limitations inhérentes de ces environnements pour lire des fichiers supérieurs à 4 GiB.

Ceux qui maintiennent du matériel avec ces configurations héritées pourraient subir des pannes automatiques irrécupérables dans le programme, rendant impérative la mise à jour du logiciel et la transition physique vers des infrastructures modernes de 64 bits pour maintenir l'opération sur le réseau.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.