«Почему соединение, пришедшее через Tor, считается своим?» — спросил меня знакомый, который сам запускает узел. Я дважды перечитал то объявление и запнулся на уровне адресов. $BNB
Входящие соединения пиров приходят через Tor, и узел видит адрес локального демона Tor — обычно он находится на той же машине, в той же локальной сети. Настоящий адрес источника на другой стороне на этом уровне вообще не виден. А параметр -whitelist, который по умолчанию выключен, присваивает статус «доверенных» целым диапазонам IP: если диапазон охватывает демон, его наследуют и внешние соединения. Изначально этот параметр нужен, чтобы клиентское приложение могло подключаться к локальному демону; при проверке учитывается только IP источника, а не то, кто находится на другой стороне. При включённом белом списке для таких соединений отменяются все ограничения, защищающие от DoS, и меры по снижению риска утечки приватных данных. $ETH
Проблема возникла из-за способа комплектации. Несколько дистрибьюторов поставляли ПО узла вместе с демоном Tor и заодно задавали -whitelist, включавший подходящий диапазон IP; некоторым клиентским приложениям этот параметр и так необходим для работы. В результате, как было сказано в исходном объявлении, «тысячи доступных узлов основной сети» добавили в белый список все входящие Tor-соединения. Узлы, на которых параметр -whitelist, не включённый по умолчанию, не настраивали, ни разу не учитывались. $SOL
Исправление получилось простым: соединения, входящие через onion bind, вообще не попадают в белый список — проверка совпадения адресов просто обходится.
Изменение под номером 33395 было опубликовано 15 сентября 2025 года, 17-го — объединено с основной веткой и перенесено в предыдущие версии; проблема затронула версии до 28.3, 29.2 и 30.0, а исправление вошло только в последующие минорные версии. Ранее, 12-го числа, Martin Zumsande и Antoine Poinsot сообщили о проблеме группе безопасности; 17-го, в тот же день, они также уведомили сопровождающего Bitcoin Knots Luke Dashjr, а 19-го — нескольких поставщиков затронутого ПО. Для тех, кто пока не может обновиться, в объявлении предложен единственный временный обходной путь: удалить IP локального прокси Tor из -whitelist.
Личное мнение, не является инвестиционной рекомендацией. За возможные убытки ответственность несёте вы сами.
#比特币Core披露Tor流量漏洞
Входящие соединения пиров приходят через Tor, и узел видит адрес локального демона Tor — обычно он находится на той же машине, в той же локальной сети. Настоящий адрес источника на другой стороне на этом уровне вообще не виден. А параметр -whitelist, который по умолчанию выключен, присваивает статус «доверенных» целым диапазонам IP: если диапазон охватывает демон, его наследуют и внешние соединения. Изначально этот параметр нужен, чтобы клиентское приложение могло подключаться к локальному демону; при проверке учитывается только IP источника, а не то, кто находится на другой стороне. При включённом белом списке для таких соединений отменяются все ограничения, защищающие от DoS, и меры по снижению риска утечки приватных данных. $ETH
Проблема возникла из-за способа комплектации. Несколько дистрибьюторов поставляли ПО узла вместе с демоном Tor и заодно задавали -whitelist, включавший подходящий диапазон IP; некоторым клиентским приложениям этот параметр и так необходим для работы. В результате, как было сказано в исходном объявлении, «тысячи доступных узлов основной сети» добавили в белый список все входящие Tor-соединения. Узлы, на которых параметр -whitelist, не включённый по умолчанию, не настраивали, ни разу не учитывались. $SOL
Исправление получилось простым: соединения, входящие через onion bind, вообще не попадают в белый список — проверка совпадения адресов просто обходится.
Изменение под номером 33395 было опубликовано 15 сентября 2025 года, 17-го — объединено с основной веткой и перенесено в предыдущие версии; проблема затронула версии до 28.3, 29.2 и 30.0, а исправление вошло только в последующие минорные версии. Ранее, 12-го числа, Martin Zumsande и Antoine Poinsot сообщили о проблеме группе безопасности; 17-го, в тот же день, они также уведомили сопровождающего Bitcoin Knots Luke Dashjr, а 19-го — нескольких поставщиков затронутого ПО. Для тех, кто пока не может обновиться, в объявлении предложен единственный временный обходной путь: удалить IP локального прокси Tor из -whitelist.
Личное мнение, не является инвестиционной рекомендацией. За возможные убытки ответственность несёте вы сами.
#比特币Core披露Tor流量漏洞
