TL;DR:
- বিটকয়েন কোর এই সপ্তাহে এটিকে প্রকাশ্যে প্রকাশ করার আগে এর প্রথম মেমোরি সিকিউরিটি বাগ CVE-2024-52911 চুপচাপ প্যাচ করেছে।
- দোষটি 0.14.0 থেকে 28.x পর্যন্ত সমস্ত সংস্করণকে প্রভাবিত করেছিল এবং একজন মাইনারকে অবৈধ ব্লক দিয়ে নোডগুলি দূরবর্তীভাবে ক্র্যাশ করতে দিয়েছিল।
- সক্রিয় নোডের প্রায় ৪৩% এখনও ভার্সন ২৯.০-এর আগের সফটওয়্যার চালাচ্ছে, যার ফলে তারা ঝুঁকিপূর্ণ অবস্থায় রয়েছে।
বিটকয়েন কোর প্রকল্পের ইতিহাসে প্রথম মেমোরি সিকিউরিটি ভালনাব্যতিক্রমটি গোপনে প্যাচ করেছে, এটি প্রকাশ্যে প্রকাশ করার কয়েক মাস আগে। এই ত্রুটিটি CVE-2024-52911 হিসাবে ক্যাটালগ করা হয়েছে এবং উচ্চ গুরুত্বপূর্ণ হিসাবে শ্রেণীবদ্ধ করা হয়েছে, যা 0.14.0 এবং 28.x-এর মধ্যে সমস্ত সফটওয়্যার ভার্সনকে প্রভাবিত করেছিল এবং একটি ক্ষতিকর মাইনার বিশেষভাবে তৈরি করা অবৈধ ব্লকের মাধ্যমে তৃতীয় পক্ষের নোডগুলি দূরবর্তীভাবে ক্র্যাশ করার সম্ভাবনা তৈরি করেছিল।
এই বাগটি স্ক্রিপ্ট বৈধতা ইঞ্জিনে একটি *use-after-free* দুর্বলতার সাথে সম্পর্কিত। ব্লক বৈধতার সময়, ক্যাশেতে সংরক্ষিত পূর্বনির্ধারিত ডেটা একটি ব্যাকগ্রাউন্ড বৈধতা থ্রেড এখনও এটি পড়ছে এমন সময় ধ্বংস হয়ে যেতে পারে। নীচের কার্যপ্রণালীর কারণে, এই দুর্নীতি শুধুমাত্র একটি হঠাৎ নোড বন্ধ করার অনুমতি দিয়েছিল, তবে ফলস্বরূপ অস্বাভাবিক মেমোরি অবস্থার সময় দূরবর্তী কোড বাস্তবায়নেরও — যদিও অসম্ভব — সম্ভাবনা রেখেছিল।
বিটকয়েন কোর: একটি নীরব প্যাচ যা নেটওয়ার্ককে সুরক্ষিত রেখেছিল
সিওরি ফিল্ডস, এমআইটি ডিজিটাল কারেন্সি ইনিশিয়েটিভের একজন গবেষক, এই দুর্বলতা আবিষ্কার করেন এবং গোপনে ২ নভেম্বর, ২০২৪-এ এটি রিপোর্ট করেন। চার দিন পর, বিটকয়েন কোর ডেভেলপার পিটার উইলে একটি গোপন সংশোধন করেন, যার উদ্দেশ্য ছিল সম্ভাব্য আক্রমণকারীদের সতর্ক না করার জন্য “ইমপ্রুভ প্যারালাল স্ক্রিপ্ট ভ্যালিডেশন এরর ডিবাগ লগিং” শিরোনামটি দেওয়া। এই সংশোধনটি ডিসেম্বর ২০২৪-এ রিপোজিটরিতে অন্তর্ভুক্ত করা হয় এবং এপ্রিল ২০২৫-এ বিটকয়েন কোর v29.0-এর সাথে বিতরণ করা হয়।
২৮.x সংস্করণ লাইনটি ২০২৬ সালের ১৯ এপ্রিল চূড়ান্ত জীবন প্রাপ্ত হওয়ার পরেই সার্বজনীন প্রকাশ করা হয়। ডেভেলপার নিকলাস গোগে উল্লেখ করেন যে এটি প্রকল্পের সার্বজনীন নিরাপত্তা পরামর্শ ইতিহাসের প্রায় দুই বছরের মধ্যে প্রথম মেমোরি নিরাপত্তা সমস্যা, এবং ফিল্ডসের দায়িত্বপূর্ণ প্রকাশকে স্বীকার করেন।
কেন কোনো এক্সপ্লয়িট ছিল না?
আক্রমণের ভেক্টরে নির্মিত প্রতিরোধমূলক উপাদানটিও মনোযোগ দেওয়ার যোগ্য: এটি ব্যবহার করার চেষ্টা করা যেকোনো মাইনারকে অবৈধ ব্লকে বাস্তব হ্যাশপাওয়ার ব্যয় করতে হতো, যার কোন পুরস্কার ছিল না — এটি একটি নিশ্চিত ক্ষতি, যা সম্ভবত ব্যাখ্যা করে যে কেন এই দুর্বলতা ব্যবহারিকভাবে নিষ্ক্রিয় থাকল।
বিটকয়েনের সমঝোতা নিয়মগুলি কোনো সময়েই প্রভাবিত হয়নি, কারণ বাগটি শুধুমাত্র নোড সফটওয়্যারের মেমোরি হ্যান্ডলিং-এ সীমাবদ্ধ ছিল। তবে, ক্লার্ক মুডলির ড্যাশবোর্ড থেকে প্রাপ্ত অনুমানগুলির ভিত্তিতে, সক্রিয় নোডগুলির প্রায় ৪৩% এখনও v29.0-এর আগের সংস্করণ চালাচ্ছে এবং এখনও প্রভাবিত থাকবে।