開発者がBitcoin Core v25.0の脆弱性を公開、ノード運営者に修正ソフトのアップデートを促す

ビットコインの開発者は最近、別の深刻なソフトウェアの脆弱性の詳細を明らかにした。上級Core開発者によると、ビットコインのルールを実行する世界中の家庭用および企業用コンピュータの13％以上に、リモートシャットダウンの脆弱性があるという。 CVE-2024-35202として知られるこの脆弱性は、25.0より前のCoreソフトウェアバージョンを実行しているビットコインノードに影響する。少なくとも25.0にアップデートされていないノードは、攻撃者がブロックトランザクション（'blocktxn'）メッセージを処理するソフトウェアロジックのアサーションをリモートで悪用する可能性がある。この脆弱性は、一般的な攻撃者にとって金銭的なメリットがほとんどないことは注目に値する。 具体的には、この脆弱性はCoreのコンパクト・ブロック・プロトコルに起因しており、このプロトコルはインターネット帯域幅の使用量を削減するために短縮されたトランザクション識別子を使用している。攻撃者はこれらの識別子の衝突を引き起こし、ノードに完全なブロックを要求させることができる。 完全で編集されていないブロックを要求することはセキュリティ上の予防策ではあるが、25.0より前のバージョンのソフトウェアには、その後のblocktxnメッセージを処理するロジックに欠陥がある。つまり、ロジックゲートを操作することでノードを強制的に無効な状態にすることが可能であり、ノードの完全な崩壊につながる可能性がある。 この脆弱性はNiklas Gögge氏によって発見・公表され、同氏はBitcoin Core v25.0に導入されたパッチも提供している。彼はBitcoin Coreのプルリクエスト番号26898で脆弱性を修正し、他の開発者は2023年5月26日までに本番環境にマージしなければならない。 BitNodes.ioの情報によると、ビットコインネットワークを実行している18,843ノードの13.7％が攻撃に対して脆弱である。開発者たちは、この脆弱性を修正するために、すべてのノードオペレータがソフトウェアをアップデートするよう促している。ビットコインコアソフトウェアの最新バージョンは28.0である(Protos)。