Lỗ hổng nghiêm trọng trong Bitcoin Core 24.0.1 và các phiên bản trước ảnh hưởng đến 17% nút đầy đủ

Vào ngày 20 tháng 9, các nhà phát triển Bitcoin Core đã đưa ra một cảnh báo rủi ro cao mới về một lỗ hổng phần mềm trong một trong sáu nút Bitcoin, theo báo cáo của Protos. Vào thứ Năm, nhân viên của dự án mã nguồn mở Bitcoin Core, chịu trách nhiệm duy trì phần mềm chạy trên hơn 98 phần trăm các nút đầy đủ có thể truy cập, đã tiết lộ rằng phần mềm chạy trên 17 phần trăm các nút của mạng có vấn đề bảo mật nghiêm trọng. Cụ thể, tất cả phần mềm dưới phiên bản Bitcoin Core 24.0.1 đều có nguy cơ. Theo ước tính giám sát của Bitnodes, lỗ hổng từ chối dịch vụ ảnh hưởng đến khoảng 3.330 trong số 19.200 tác nhân người dùng tự xưng của các nút Bitcoin Complete có thể truy cập.

Trong phần mềm Bitcoin Core trước phiên bản 24.0.1, các tác nhân độc hại có thể sử dụng chuỗi tiêu đề có độ khó thấp để gửi thư rác đến các nút. Bằng cách buộc các nút tải xuống và lưu trữ các chuỗi tiêu đề cực kỳ dài, cuộc tấn công có thể làm sập nút bằng cách chiếm quá nhiều băng thông hoặc không gian lưu trữ thiết bị. Các nhà phát triển đã khắc phục lỗ hổng này trong yêu cầu kéo (PR) số 25717 của Bitcoin Core và hợp nhất nó vào sản xuất vào ngày 12 tháng 12 năm 2022 với bản phát hành v24.0.1. Phiên bản hiện tại của phần mềm nút Bitcoin Core (hiện là 27.1) bao gồm các bản sửa lỗi cho lỗ hổng này và các lỗ hổng khác.

Mặc dù lỗ hổng này khá nghiêm trọng, nhưng có rất ít trường hợp tấn công được biết đến trong hồ sơ công khai khai thác lỗ hổng này. Vì chi phí tạo và phát sóng một chuỗi tiêu đề khối để thực hiện một cuộc tấn công từ chối dịch vụ khá cao, lỗ hổng này ít có lợi ích tài chính đối với kẻ tấn công.