Bitcoin Core brengt vier versies uit om drie kwetsbaarheden te patchen

Bitcoin Core bracht over twee dagen vier gepatchte versies uit — 31.2 en 32.1 op 27 oktober, 29.5 en 30.4 op 28 oktober — waarmee drie kwetsbaarheden werden verholpen die pas publiek bekend werden gemaakt nadat de fixes al waren uitgerold.

Het overzicht noemt een derde probleem, een overflow in undo-bestanden, maar de beschikbare openbaarmakingen geven geen technische details of ernstclassificatie hiervan.

Het eerste geheugenprobleem, aangeduid als fpausesend-oom, veroorzaakte onbeperkte geheugengroei bij gepauzeerde peers, en trof harder bij peers die geen BIP 31 nonced ping-berichten ondersteunen. Bitcoin Core becijfert de groei op tot 2MB per uur per inkomende peer en 5MB per uur per uitgaande peer, oplopend tot wel 48MB respectievelijk 120MB over 24 uur. Het geheugengebruik schaalt mee met elke getroffen peerverbinding. Bitcoin Core classificeert dit als gemiddelde ernst en merkt het aan als gemakkelijk te ontdekken.

Het tweede probleem heeft een eigen openbaarmaking over TCP urgent-data. Een kwaadwillende peer kon TCP urgent (out-of-band) data sturen naar nodes die draaien op platforms die de select()-socket-monitoringbackend gebruiken — Windows, macOS en BSD. De openbaarmaking noemt Windows-, macOS- en BSD-systemen met de select()-backend als getroffen platforms; over Linux wordt in het beschikbare materiaal niets vermeld. Bitcoin Core beoordeelt ook dit probleem op dezelfde manier: gemiddelde ernst, gemakkelijk te ontdekken.

Beide geheugenkwetsbaarheden kwamen naar voren uit geautomatiseerde LLM-scans die werden uitgevoerd binnen Elias Rohrers Project Loupe bij Spiral. Project Loupe signaleerde fpausesend-oom op 15 september en tcp-oom op 23 oktober. Gregory Sanders ontving van beide melding, valideerde de rapportages en droeg ze over aan het Bitcoin Core-securityteam.

Antoine Poinsot opende op 26 oktober PR #36667 voor fpausesend-oom en PR #36665 voor tcp-oom. Beide werden dezelfde dag gemerged en teruggeport naar de versies 29, 30, 31 en 32. Bitcoin Core 29.5 is beschikbaar om te downloaden.

Nodes die nog op de getroffen releaselijnen draaien, lopen de bekendgemaakte geheugenrisico’s totdat beheerders upgraden naar 29.5, 30.4, 31.2 of 32.1. Beheerders op de getroffen releaselijnen wordt aangeraden direct te upgraden; totdat zij dat doen, blijven hun nodes blootgesteld aan de bekendgemaakte geheugenlek-kwetsbaarheden. De beschikbare openbaarmakingen gaan niet in op de technische details, ernst of blootstelling van het probleem met de overflow in undo-bestanden. De gepatchte versies waren op 28 oktober beschikbaar, dezelfde dag waarop de twee geheugenkwetsbaarheden openbaar werden gemaakt. Er is in het beschikbare materiaal geen eerdere vergelijkbare openbaarmaking van een kwetsbaarheid bekend.

BTC$79.976,00▼1,75% Bitcoin werd op 29 oktober verhandeld tegen $80.016, een daling van 1,1% over 24 uur, volgens CoinGecko — een beweging die geen verband houdt met de softwarereleases.