El equipo de Bitcoin Core divulgó el 28 de octubre tres vulnerabilidades identificadas mediante escaneo automatizado de código con un modelo de lenguaje de gran tamaño. Las fallas podrían aumentar el uso de memoria de los nodos o hacer que se bloqueen, lo que llevó a los desarrolladores a publicar correcciones para todas las versiones principales compatibles y a modificar sus reglas de divulgación.

Un analizador automatizado identificó las tres vulnerabilidades como parte de Project Loupe, que Elias Rohrer desarrolla en Spiral. El desarrollador Gregory Sanders revisó los hallazgos antes de que fueran enviados al equipo de seguridad de Bitcoin Core.

Tres vulnerabilidades que afectan a nodos de Bitcoin Core

La primera vulnerabilidad, reportada el 23 de octubre, afectaba el manejo de datos TCP urgentes en sistemas que no utilizan Linux. Un atacante conectado podía enviar datos especialmente diseñados que eludieran los límites de tamaño de la cola de mensajes y provocaran un crecimiento ilimitado de memoria, lo que potencialmente podría bloquear nodos de Bitcoin Core que ejecutaran Windows, macOS y BSD.

Los desarrolladores clasificaron la vulnerabilidad como de gravedad media. Los nodos Linux no se vieron afectados porque utilizan un mecanismo diferente para supervisar las conexiones de red.

La segunda falla también provocaba una acumulación descontrolada de datos en la memoria. Un nodo conectado podía afirmar que utilizaba una versión obsoleta del protocolo y retrasar el procesamiento de mensajes. Según el aviso de Bitcoin Core, el uso de memoria podría aumentar hasta 2 megabytes por hora por cada conexión entrante y 5 megabytes por hora por cada conexión saliente.

El escáner automatizado detectó la segunda vulnerabilidad el 15 de septiembre. Otro desarrollador la encontró de forma independiente el 21 de septiembre.

La tercera vulnerabilidad, calificada como de baja gravedad, afectaba archivos que almacenan datos necesarios para reorganizaciones de la cadena de bloques. Los mineros podían crear bloques que causaran el desbordamiento de estos archivos de deshacer. Si posteriormente ocurría una reorganización correspondiente, algunos nodos podían bloquearse.

En sistemas de 64 bits, explotar la falla requeriría recursos considerables. Los desarrolladores estimaron que preparar un ataque podría requerir alrededor de un mes de minería de bloques por parte de toda la red. En Windows y sistemas de 32 bits, podía producirse un bloqueo sin dicha reorganización, y el aviso oficial indicó que reiniciar el nodo no resolvería el problema.

La corrección no elimina por completo el problema en sistemas de 32 bits ni en nodos que almacenan bloques en unidades antiguas que utilizan el sistema de archivos FAT32. En otros casos, los desarrolladores abordaron la vulnerabilidad en parte mediante el uso de enteros de 64 bits para almacenar posiciones de archivos.

Los desarrolladores revisan la política de divulgación

Los desarrolladores publicaron correcciones en Bitcoin Core versiones 29.5, 30.4, 31.2 y 32.1. Las versiones 31.2 y 32.1 estuvieron disponibles el 27 de octubre, seguidas por las versiones 29.5 y 30.4 el 28 de octubre. Los detalles de las vulnerabilidades fueron publicados el 28 de octubre.

Bitcoin Core había permitido anteriormente que las vulnerabilidades de gravedad media permanecieran sin divulgar durante hasta un año, dando tiempo a los operadores de nodos para actualizar. El 22 de octubre, el proyecto cambió su política para vulnerabilidades que pueden descubrirse rápidamente con un LLM.

Según la nueva política, los desarrolladores deben preparar correcciones para cada versión principal compatible lo antes posible cuando una vulnerabilidad se considera fácil de descubrir. Publicarán el aviso correspondiente una vez que esas correcciones estén disponibles, en lugar de esperar a que expire el período de embargo estándar.

Otras vulnerabilidades siguen sujetas al calendario habitual de divulgación. Bitcoin Core publica los detalles de errores de baja gravedad dos semanas después de lanzar la versión principal que contiene la corrección. Divulga vulnerabilidades de gravedad media y alta dos semanas después de que la última versión afectada llegue al final de su ciclo de vida.

Las notas de lanzamiento de Bitcoin Core también indicaron que los desarrolladores planeaban divulgar en dos semanas tres vulnerabilidades adicionales de gravedad media y alta corregidas en la versión 30.0.

Fuente: HODL Press