TL;DR:
- بٹ کوائن کور نے اس کا پہلا میموری سیکیورٹی بگ CVE-2024-52911 کو شائع کرنے سے پہلے خاموشی سے درست کر دیا۔
- یہ خامی 0.14.0 سے لے کر 28.x تک تمام ورژنز کو متاثر کرتی تھی اور کوئی مائنر غلط بلاکس کے ذریعے نوڈس کو دور سے کریش کر سکتا تھا۔
- فعال نوڈس کے تقریباً 43% اب بھی ورژن 29.0 سے پہلے کے سافٹ ویئر چلا رہے ہوں گے، جس سے وہ خطرے میں رہ جائیں گے۔
بٹ کوائن کور نے اپنی تاریخ میں پہلا میموری سیکیورٹی خرابی پچ کر دی، جس کا اعلان وہ علناً کئی ماہ بعد کرے گئے۔ اس خرابی کو CVE-2024-52911 کے طور پر درج کیا گیا ہے اور اسے اعلیٰ شدت کے طور پر درج کیا گیا ہے، جس سے 0.14.0 اور 28.x کے درمیان تمام سافٹ ویئر ورژن متاثر ہوئے، اور اس سے ایک بری بھرتی مائنر کو خاص طور پر تیار کردہ غلط بلاکس کے ذریعے تیسری پارٹی نوڈس کو دور سے کریش کرنے کا امکان پیدا ہو گیا۔
یہ خطا اسکرپٹ تصدیق انجن میں ایک *یوز-آفٹر-فری* کمزوری کے مطابق ہے۔ بلاک تصدیق کے دوران، کیش میں محفوظ پہلے سے تیار کردہ ڈیٹا کو ایک پس منظر تصدیق تھریڈ کے اس وقت تک پڑھنے کے باوجود ختم کر دیا جا سکتا تھا۔ بنیادی مکانیزم کے مطابق، اس استعمال سے صرف ایک اچانک نوڈ بند ہونا ہی نہیں بلکہ نتیجے میں پیدا ہونے والی غیر معمولی میموری حالت کے دوران ریموٹ کوڈ اجراء کا امکان (ہرگز نہیں) بھی باقی رہ گیا۔
بٹ کوائن کور: ایک خاموش پیچ جس نے نیٹ ورک کا تحفظ کیا
کوری فیلڈز، ایم آئی ٹی ڈیجیٹل کرینسی انسٹی ٹیوٹ کے ایک ریسرچر، نے کمزوری کا پتہ لگایا اور پرائیویٹلی 2 نومبر، 2024 کو اس کی رپورٹ کی۔ چار دن بعد، بٹ کوائن کور ڈویلپر پائیٹر ووائل نے ایک چھپی ہوئی فکس لاگو کی، جسے جان بوجھ کر "موازاتی اسکرپٹ تصدیق کی خرابی کے ڈیبگ لاجنگ میں بہتری" کا نام دیا گیا تاکہ ممکنہ حملہ آوروں کو اطلاع نہ ہو۔ یہ فکس دسمبر 2024 میں ریپوزٹری میں شامل کر دی گئی اور اپریل 2025 میں بٹ کوائن کور v29.0 کے ساتھ جاری کر دی گئی۔
صرف اس وقت علیحدہ اعلان کیا گیا جب 28.x ورژن لائن کا 19 اپریل، 2026 کو خاتمہ ہوا۔ ڈیولپر نکلاس گوگے نے نوٹ کیا کہ یہ پروجیکٹ کی علیحدہ سیکورٹی مشورہ تاریخ کے تقریبا دو سالوں میں پہلا میموری سیکورٹی مسئلہ ہے، اور فیلڈز کے ذمہ دارانہ اعلان کو تسلیم کیا۔
کیوں کوئی ایکسپلوٹ نہیں تھا؟
حملہ کے اس ایلمنٹ میں ڈالا گیا روکنے والا عنصر بھی توجہ کا مستحق ہے: کوئی بھی مائنر جو اس کا استعمال کرنے کی کوشش کرتا، اسے بے کار بلاکس پر حقیقی ہیش پاور خرچ کرنی پڑتی — جس میں کوئی انعام نہیں ہوتا — ایک یقینی نقصان جو اس بات کی وضاحت کرتا ہے کہ عملی طور پر یہ کمزوری خاموش رہی۔
بٹ کوائن کے متفقہ قواعد کبھی متاثر نہیں ہوئے، کیونکہ خرابی صرف نوڈ سافٹ ویئر کے میموری ہینڈلنگ تک محدود تھی۔ تاہم، کلارک مودی کے ڈیش بورڈ کے اندازے کے مطابق، فعال نوڈس کے تقریباً 43% اب بھی v29.0 سے پہلے کے ورژن چلا رہے ہوں گے اور خطرے میں رہیں گے۔