Bitcoin Core 32.0 готовит ускорение проверок и исправления уязвимостей

Что произошло

Bitcoin Core 32.0 перешёл к тестированию кандидата на выпуск. Разработчики ориентируются на 10 октября для публикации готовой версии, однако график может измениться по итогам тестирования.

Обновление предназначено прежде всего для операторов узлов и разработчиков, которые используют Bitcoin Core для работы кошельков и других сервисов.

Что изменится

Проверка блоков может ускориться благодаря параллельному чтению информации из базы данных. При этом скорость создания новых блоков Bitcoin не изменится.

Четыре команды кошелька по умолчанию перейдут на более новый формат обмена частично подписанными транзакциями между кошельками и устройствами для подписи. Приложения по-прежнему смогут запрашивать старый формат.

Исправление безопасности не позволяет специально созданным именам кошельков запускать команды на компьютере узла. Проблема затрагивала системы, отличные от Windows, при определённых настройках функции walletnotify и наличии у пользователя аутентифицированного доступа.

Отдельный патч устраняет чрезмерное потребление памяти новым HTTP-сервером, который обрабатывает запросы подключённых приложений.

Почему это важно

Участник разработки Matthew Zipkin, публикующий материалы под именем pinheadmz, описал проблему как сценарий исчерпания памяти. По его первоначальной оценке, риск был ограничен аутентифицированными клиентами.

Zipkin сообщил, что обнаружил уязвимость во время аудита нового HTTP-сервера Bitcoin Core с помощью Kimi K3 — модели искусственного интеллекта, которую также использует Bitcoin Red Team для поиска уязвимостей в программном обеспечении Bitcoin.

Ранее одно исправление уже устранило часть проблемы, но возможность исчерпать доступную компьютеру память сохранялась. Патч включили в Bitcoin Core 32.0 5 сентября в рамках продолжающейся работы над безопасностью.

Контекст

В последние недели разработчики других продуктов для Bitcoin также устраняли отдельные уязвимости. Производитель аппаратных кошельков BitBox исправил две серьёзные уязвимости прошивки в августе и сообщил об отсутствии признаков их эксплуатации.

Разработчики платёжного программного обеспечения Core Lightning предупредили операторов узлов о подтверждённых уязвимостях, пока готовили исправления.