TL;DR
- Divulgation de sécurité : Les maintaineurs du logiciel nœud Bitcoin Core ont révélé trois vulnérabilités signalées en 2025 et corrigées en octobre 2025.
- Risque d'exploitation : une faille de gravité élevée a créé des incohérences dans le mempool en supprimant des transactions sans effacer les descendants associés.
- Impact sur le réseau : Deux problèmes de gravité moyenne ont impliqué des retards dans le traitement des blocs et des autorisations de liste blanche non intentionnelles pour certaines connexions Tor.
Bitcoin Core a publiquement révélé trois vulnérabilités de sécurité précédemment corrigées, dont une faille de gravité élevée pouvant empêcher certains nœuds d'exploitation de générer des modèles de bloc valides. Ces problèmes ont été initialement signalés en 2025, et des correctifs ont été publiés en octobre de cette même année. Le protocole a indiqué que les vulnérabilités variaient en gravité, mais que chacune présentait des conséquences opérationnelles potentielles pour les opérateurs de nœuds et les mineurs.
Bogue de gravité élevée ayant créé des incohérences dans le mempool
Le problème le plus grave, identifié sous le numéro CVE-2025-62861, a affecté les versions de Bitcoin Core 28.0 à 28.2 et 29.0 à 29.1. La vulnérabilité a été signalée par Niklas Goegge le 26 septembre 2025. Selon Bitcoin Core, les règles de traitement des transactions continuaient d'être appliquées après que certaines transactions soient revenues dans le mempool suite à une réorganisation de la chaîne.
Par conséquent, une transaction pouvait être supprimée sans supprimer ses descendants, créant un état de mempool incohérent. Pour miners, les conséquences ont été importantes. Les nœuds affectés devaient être redémarrés avant de pouvoir à nouveau générer des modèles de bloc valides, rendant ce défaut particulièrement pertinent pour les opérations de minage qui dépendent d'une performance continue des nœuds.
Deux autres vulnérabilités de gravité moyenne
Une deuxième vulnérabilité signalée contre Bitcoin Core en avril 2025 a été identifiée sous le numéro CVE-2025-62859. Le chercheur Eugene Siegel a découvert qu'un pair malveillant pouvait exploiter la malléabilité des témoins dans les blocs compacts pour retarder le traitement des blocs jusqu'à 10 minutes. L'avis publié par Bitcoin Core indique que cette attaque pourrait être répétée indéfiniment contre les nœuds fonctionnant en mode « -blocksonly » ou dans les situations où l'attaquant contrôlait les trois pairs à haut débit.
Problème de mise en liste blanche de Tor également résolu
Le troisième bug révélé par Bitcoin Core, CVE-2025-62860, concernait les nœuds utilisant le paramètre facultatif « -whitelist ». Dans certaines configurations, les pairs Tor entrants pouvaient recevoir des autorisations de liste blanche si l'adresse IP du proxy se trouvait dans une plage approuvée. Bitcoin Core a indiqué que des milliers de nœuds mainnet accessibles avaient whitelisté des connexions Tor entrantes, réduisant ainsi certaines protections contre les attaques par déni de service et les mesures de confidentialité.
Les nœuds qui n'ont pas utilisé le paramètre de liste blanche non par défaut n'ont pas été affectés. Bitcoin Core 30.0 a inclus des correctifs pour les trois vulnérabilités le 10 octobre 2025, suivi par la version 29.2 le 14 octobre. La dernière version de Bitcoin Core vulnérable a atteint la fin de sa vie le 27 octobre, selon les avis.