Ошибка Bitcoin Core позволяла незнакомцам, подключавшимся через Tor, получать статус «доверенных» на тысячах узлов. Уязвимость в Bitcoin Core позволяла незнакомцам, подключавшимся через Tor, обходить защиту от спама и меры конфиденциальности на тысячах узлов, поскольку система считала их доверенными узлами. Во вторник Bitcoin Core опубликовала официальное уведомление о безопасности — примерно через 13 месяцев после выпуска исправления. В нём отмечалось, что исправляющий код был доступен на GitHub с сентября 2025 года вместе с чётким предупреждением: разрешения из белого списка не должны распространяться на входящие подключения через Tor. Как это произошло - Обычно узел Bitcoin ограничивает объём трафика, который могут отправлять его пиры, чтобы защититься от спама и попыток вызвать отказ в обслуживании. Операторы могут ослабить эти ограничения для определённых пиров с помощью настройки белого списка — например, чтобы доверять другим машинам в локальной сети. - Ошибка возникала, когда дистрибутивы объединяли Bitcoin Core с Tor — сетью, скрывающей IP-адреса. Входящие подключения через Tor определялись так, как будто они исходили от локального программного обеспечения Tor. Если адрес локального Tor входил в доверенный диапазон, удалённые пользователи Tor непреднамеренно получали ослабленные разрешения, предназначенные для «доверенных» узлов. Общий контекст и дополнительные исправления - В уведомлении эта проблема была названа одной из трёх ошибок, о которых сообщили во вторник. Все три были исправлены в выпусках, опубликованных в октябре прошлого года. Из-за одной из других ошибок узел для майнинга мог перестать создавать блоки, пока оператор не перезапускал его. - Потенциально широкое влияние объясняется распространённой практикой запускать Bitcoin Core вместе с Tor, чтобы защитить конфиденциальность операторов узлов. Что следует сделать операторам - Узлам, на которых всё ещё работают версии без исправлений, следует обновиться до версий с исправлениями, выпущенными в октябре прошлого года. Это обеспечит корректную работу белого списка и Tor, а также установит остальные исправления. Эта публикация показывает, как тонкое взаимодействие средств защиты конфиденциальности и сетевых настроек может подорвать предполагаемые меры безопасности, если программное обеспечение не обрабатывает анонимизирующие прокси, такие как Tor, явно и с осторожностью. Читайте другие новости, созданные ИИ: https://app.chaingpt.org/news