Критическая уязвимость в Bitcoin Core 24.0.1 и ниже затрагивает 17% полных узлов

20 сентября разработчики Bitcoin Core выпустили новое предупреждение о высоком риске из-за уязвимости программного обеспечения в одном из шести узлов Bitcoin, сообщает Protos. В четверг сотрудники проекта с открытым исходным кодом Bitcoin Core, который отвечает за поддержание программного обеспечения, работающего на более чем 98 процентах доступных полных узлов, сообщили, что программное обеспечение, работающее на 17 процентах узлов сети, имеет значительные проблемы с безопасностью. В частности, все программное обеспечение ниже версии Bitcoin Core 24.0.1 находится под угрозой. По оценкам мониторинга Bitnodes, уязвимость отказа в обслуживании затрагивает примерно 3,330 из 19,200 самопровозглашенных пользовательских агентов доступных полных узлов Bitcoin.

В программном обеспечении Bitcoin Core до версии 24.0.1 злоумышленники могли использовать цепочки заголовков с низкой сложностью для спама узлов. Заставляя узлы загружать и хранить чрезвычайно длинные цепочки заголовков, атака могла привести к сбою узла, занимая слишком много пропускной способности или места на устройстве. Разработчики устранили эту уязвимость в запросе на слияние (PR) номер 25717 и внедрили его в производство 12 декабря 2022 года с выпуском версии v24.0.1. Текущая версия программного обеспечения узла Bitcoin Core (сейчас 27.1) включает исправления для этой и других уязвимостей.

Хотя эта уязвимость довольно серьезна, в публичных записях очень мало известных случаев атак, использующих эту уязвимость. Поскольку стоимость генерации и передачи цепочки заголовков блока для выполнения атаки отказа в обслуживании довольно высока, эта уязвимость представляет небольшой финансовый интерес для злоумышленников.