Một cấu hình sai cho phép nhiều nút Bitcoin xem các kết nối Tor đến như đáng tin, bỏ qua giới hạn DoS cho đến khi bản vá được phát hành vào tháng 10 2025.
Dịch từ tiếng Anh. Đọc bản gốc
Bitcoin Core công bố vào ngày 10 tháng 11 2026 rằng một lỗi cấu hình ở nhiều nút mainnet có thể truy cập được đã khiến các kết nối Tor đến được xem như các nút đồng nghiệp đáng tin. Vấn đề, được ghi nhận dưới mã CVE‑2025‑62860, cho phép các nút xuất phát từ Tor được miễn các giới hạn từ chối dịch vụ và các biện pháp bảo vệ riêng tư thường chỉ áp dụng cho các địa chỉ được liệt kê trong whitelist.
Vấn đề bắt nguồn từ tùy chọn –whitelist không mặc định mà một số nhà vận hành dùng để đưa địa chỉ IP của daemon Tor nội bộ vào danh sách. Vì Bitcoin Core xác định một kết nối Tor đến bằng địa chỉ nội bộ của daemon thay vì địa chỉ onion từ xa, bất kỳ nút nào có whitelist này vô tình mở rộng cùng quyền cho mọi nút Tor. Điều này khiến hàng ngàn nút bỏ qua giới hạn tốc độ và các biện pháp bảo vệ riêng tư cho toàn bộ lưu lượng Tor, tiềm ẩn nguy cơ bị tấn công DoS.
Chỉ những nút bật tùy chọn whitelist cụ thể mới bị ảnh hưởng; các cài đặt không có tùy chọn này vẫn an toàn. Thông báo lưu ý rằng các nhà cung cấp phổ biến đã gói Bitcoin Core cùng Tor và một dải whitelist tương ứng, và một số phần mềm khách yêu cầu whitelist, dẫn đến việc lộ rộng. Lỗi không cho phép truy cập ví hay trộm tiền trực tiếp, nhưng làm suy yếu độ bền mạng bằng cách loại bỏ các biện pháp ngăn chặn lưu lượng xấu.
Lỗ hổng đã được vá vào ngày 17 tháng 9 2025, với bản sửa được tích hợp vào Bitcoin Core 30.0, 29.2 và 28.3 phát hành vào tháng 10 2025. Tất cả các phiên bản sau, bao gồm phiên bản bảo trì hiện tại 32.1, đều chứa sửa chữa. Bitcoin Core hiện khuyên các nhà vận hành nâng cấp lên phiên bản bảo trì mới nhất và xác nhận rằng bất kỳ whitelist nào không bao gồm địa chỉ daemon Tor. Các phiên bản 28.x và 29.x đã hết vòng đời, vì vậy người dùng nên chuyển sang các nhánh 30.x, 31.x hoặc 32.x được hỗ trợ.
Các bên liên quan sẽ giám sát tỷ lệ áp dụng các bản phát hành đã vá, đặc biệt ở các nhà cung cấp phần mềm nút tích hợp. Sự kiểm tra bổ sung có thể tập trung vào cách các bản cập nhật Bitcoin Core trong tương lai xử lý tích hợp Tor và cấu hình whitelist để ngăn ngừa những sơ suất tương tự.
Thảo luận 0