TL;DR:
- बिटकॉइन कोर ने इस सप्ताह इसे सार्वजनिक रूप से खुलासा करने से पहले, अपनी पहली मेमोरी सुरक्षा त्रुटि CVE-2024-52911 को चुपचाप पैच कर दिया।
- दोष 0.14.0 से 28.x तक के सभी संस्करणों को प्रभावित करता था और एक माइनर को अमान्य ब्लॉक के साथ नोड्स को दूर से क्रैश करने की अनुमति देता था।
- लगभग 43% सक्रिय नोड्स अभी भी संस्करण 29.0 से पहले के सॉफ्टवेयर को चला रहे होंगे, जिससे वे खुले रह जाएंगे।
बिटकॉइन कोर ने प्रोजेक्ट के इतिहास में पहली मेमोरी सुरक्षा वैल्नरेबिलिटी को सार्वजनिक रूप से इसका खुलासा करने से महीनों पहले पैच किया। यह दोष, CVE-2024-52911 के रूप में सूचीबद्ध और उच्च गंभीरता के रूप में वर्गीकृत, 0.14.0 और 28.x के बीच सभी सॉफ्टवेयर संस्करणों को प्रभावित किया, और एक दुरुपयोगकर्ता माइनर के लिए विशेष रूप से तैयार अमान्य ब्लॉक के माध्यम से तीसरे पक्ष के नोड्स को दूर से क्रैश करने की संभावना पैदा की।
इस बग का संबंध स्क्रिप्ट वैलिडेशन इंजन में एक *यूज-अफ्टर-फ्री* वल्नरेबिलिटी से है। ब्लॉक वैलिडेशन के दौरान, कैश में संग्रहीत प्रीकैलकुलेटेड डेटा को एक बैकग्राउंड वैलिडेशन थ्रेड द्वारा अभी भी पढ़े जाने के दौरान नष्ट कर दिया जा सकता था। आधारभूत तंत्र के आधार पर, इस दुरुपयोग से केवल एक अचानक नोड बंद होने की संभावना ही नहीं, बल्कि परिणामस्वरूप असामान्य मेमोरी स्थिति के दौरान रिमोट कोड निष्पादन की संभावना भी खुली रह गई — हालांकि यह कम संभावित है।
बिटकॉइन कोर: एक चुपचाप नेटवर्क को सुरक्षित करने वाला पैच
कॉरी फील्ड्स, एमआईटी डिजिटल करेंसी इनिशिएटिव के एक शोधकर्ता, ने इस दुर्बलता को खोजा और निजी रूप से 2 नवंबर, 2024 को इसकी रिपोर्ट की। चार दिन बाद, बिटकॉइन कोर डेवलपर पीटर वुइले ने एक गुप्त सुधार लागू किया, जिसे जानबूझकर “समानांतर स्क्रिप्ट प्रमाणीकरण त्रुटि डीबग लॉगिंग में सुधार” के नाम से रखा गया ताकि संभावित हमलावरों को सतर्क न किया जा सके। यह सुधार दिसंबर 2024 में रिपॉजिटरी में शामिल किया गया और अप्रैल 2025 में बिटकॉइन कोर v29.0 के साथ वितरित किया गया।
जानकारी केवल 28.x संस्करण श्रृंखला के 19 अप्रैल, 2026 को समाप्त होने के बाद ही सार्वजनिक रूप से जारी की गई। डेवलपर निकलस गोगे ने नोट किया कि यह प्रोजेक्ट के सार्वजनिक सुरक्षा सलाहकार इतिहास के लगभग दो वर्षों में पहली मेमोरी सुरक्षा समस्या है, और फील्ड्स के जिम्मेदारी से जानकारी देने की सराहना की।
क्यों कोई दुरुपयोग नहीं हुआ?
आक्रमण वेक्टर में शामिल निवारक तत्व को भी ध्यान देने योग्य है: इसका दुरुपयोग करने की कोशिश करने वाला कोई भी माइनर बिना किसी रिवॉर्ड के अमान्य ब्लॉक पर वास्तविक हैशपावर खर्च करने के लिए मजबूर होता — एक गारंटीड नुकसान, जो संभवतः इस बात की व्याख्या करता है कि वास्तविकता में यह दुर्बलता निष्क्रिय ही रही।
बिटकॉइन के सहमति नियम कभी प्रभावित नहीं हुए, क्योंकि दोष केवल नोड सॉफ्टवेयर के मेमोरी हैंडलिंग तक सीमित था। हालाँकि, क्लार्क मूडी के डैशबोर्ड से प्राप्त अनुमानों के आधार पर, लगभग 43% सक्रिय नोड अभी भी v29.0 से पहले के संस्करण चला रहे होंगे और उनका एक्सपोज़र बना रहेगा।