Aggiornamento di Bitcoin Core 32.0
Il software che consente agli utenti di verificare in modo indipendente i pagamenti in Bitcoin sta per ricevere un aggiornamento mirato a velocizzare tali controlli e a correggere le vulnerabilità di sicurezza, con un rilascio previsto per ottobre. Bitcoin Core 32.0 è entrato nella fase di testing della versione candidata lunedì, secondo il programma del progetto. Gli sviluppatori puntano al 10 ottobre per la consegna della versione finale, anche se i test potrebbero modificare questa tempistica.
Funzionalità e miglioramenti
Bitcoin Core consente ai computer di verificare le transazioni e i blocchi di Bitcoin. L’aggiornamento avrà un impatto principalmente sugli operatori di nodi e sugli sviluppatori che utilizzano il software per gestire portafogli e altri servizi. Secondo le note di rilascio preliminari, l’aggiornamento può velocizzare i controlli dei blocchi leggendo le informazioni del database in parallelo, senza modificare la velocità con cui Bitcoin produce blocchi.
Correzioni di sicurezza
Quattro comandi del portafoglio passeranno a un formato più recente per lo scambio di transazioni parzialmente firmate tra portafogli e dispositivi di firma, anche se le applicazioni potranno comunque richiedere la versione precedente. Una correzione di sicurezza impedisce che nomi di portafogli creati ad arte attivino comandi sul computer di un nodo. Questa vulnerabilità ha colpito i sistemi non Windows, in cui un utente autenticato poteva creare portafogli e la funzione walletnotify era configurata per eseguire comandi quando si verificavano transazioni nel portafoglio.
Problemi di memoria e patch
Una patch separata affronta l’uso eccessivo di memoria nel nuovo server HTTP, che gestisce le richieste delle applicazioni connesse. Il collaboratore Matthew Zipkin, postando come pinheadmz, ha descritto uno “scenario di esaurimento della memoria” nella sua proposta di patch. La sua valutazione iniziale ha limitato il rischio ai client autenticati. Zipkin ha dichiarato di aver trovato la vulnerabilità mentre esaminava il nuovo server HTTP di Bitcoin Core con Kimi K3, un modello di intelligenza artificiale utilizzato anche dal Bitcoin Red Team per cercare vulnerabilità nel software Bitcoin. Una correzione precedente aveva affrontato parte del problema, ha spiegato, ma un modo per esaurire la memoria disponibile del computer—una condizione di “OOM”, o out-of-memory—rimaneva.
Durante la revisione di quella stessa patch, l’utente di GitHub jeanpablojp ha scoperto che le richieste senza credenziali potevano anche causare una crescita della memoria quando l’interfaccia REST era abilitata. Dopo che Zipkin ha rivisto la patch, il revisore ha segnalato che 16 connessioni non autenticate hanno causato circa 3 MB di crescita della memoria in 90 secondi, rispetto a 3,2 GB prima. La patch è stata integrata il 5 settembre per Bitcoin Core 32.0 come parte del lavoro continuo per migliorare la sicurezza del software.
Altre vulnerabilità nel software Bitcoin
Altri sviluppatori di software Bitcoin hanno affrontato vulnerabilità separate nelle ultime settimane. Il produttore di portafogli hardware BitBox ha corretto due gravi vulnerabilità del firmware in agosto, segnalando di non aver trovato prove di sfruttamento. Gli sviluppatori del software di pagamento Core Lightning hanno anche avvertito gli operatori di nodi riguardo a vulnerabilità confermate mentre preparavano le correzioni.
