要約
- セキュリティに関する開示：Bitcoin Coreノードソフトウェアのメンテナーは、2025年に報告され、2025年10月にパッチが適用された3つの脆弱性を明らかにしました。
- マイニングリスク：高嚴重度の脆弱性により、関連する子取引をクリアせずに取引を削除することで、mempoolの不整合が発生しました。
- ネットワークへの影響：2つの中程度の深刻度の問題が、ブロック処理の遅延と一部のTor接続に対する意図しないホワイトリスト権限に関係しています。
Bitcoin Coreは、以前にパッチが適用された3つのセキュリティ脆弱性を公開しました。そのうち1つは、一部のマイニングノードが有効なブロックテンプレートを作成できなくなる可能性のある高嚴重度の脆弱性です。これらの問題は2025年に報告され、同年10月に修正版がリリースされました。プロトコルは、これらの脆弱性の深刻度は異なりますが、それぞれノード運用者やマイナーに潜在的な運用上の影響を及ぼす可能性があると述べています。
高嚴重度のバグがメムプールの不整合を引き起こしました
最も深刻な問題であるCVE-2025-62861は、Bitcoin Coreバージョン28.0から28.2および29.0から29.1に影響を与えました。この脆弱性は2025年9月26日にNiklas Goeggeによって報告されました。Bitcoin Coreによると、チェーンの再編成後に特定のトランザクションがmempoolに戻った後も、トランザクション処理ルールが継続して適用されていました。
その結果、トランザクションがその子孫と共に削除されず、メモリープールの状態が不整合になる可能性がありました。マイナーにとっては、その影響は重大でした。影響を受けたノードは、有効なブロックテンプレートを再生成できるようになるまで再起動が必要であり、この不具合はノードの継続的なパフォーマンスに依存するマイニング運用にとって特に重要でした。
さらに2つの中程度の深刻度の脆弱性
2025年4月にBitcoin Coreに対して報告された2つ目の脆弱性はCVE-2025-62859と特定されました。研究者Eugene Siegelは、コンパクトブロックにおけるウィットネス変更を悪用することで、攻撃者がブロック処理を最大10分遅延させられることを発見しました。Bitcoin Coreが公開した注意喚起では、この攻撃は「-blocksonly」モードで動作するノードや、攻撃者が3つの高帯域幅ピアすべてを制御している状況において、無限に繰り返すことができると記されています。
トーホワイトリストの問題も対応しました
Bitcoin Coreが開示した3番目のバグ、CVE-2025-62860は、オプションの「-whitelist」設定を使用するノードに関係していました。特定の設定下で、TorピアがプロキシのIPアドレスが許可された範囲内にある場合、ホワイトリスト権限を受信していました。Bitcoin Coreは、数千の到達可能なメインネットノードが受信するTor接続をホワイトリストに登録しており、一部のサービス拒否保護とプライバシー対策が弱まっていたと述べています。
デフォルト以外のホワイトリスト設定を使用していないノードは影響を受けませんでした。Bitcoin Core 30.0は2025年10月10日にすべての3つの脆弱性に対する修正を含み、その後2025年10月14日にバージョン29.2がリリースされました。アドバイザリーによると、最後の脆弱性のあるBitcoin Coreリリースは2025年10月27日にサポート終了となりました。