Bitcoin Core révèle trois failles découvertes avec l’IA

Bitcoin Core a révélé trois vulnérabilités repérées par une analyse menée avec l’IA, dont une qui permettait à un attaquant distant d’épuiser la mémoire et de faire planter des nœuds sous Windows, macOS ou BSD. Les développeurs ont vérifié les résultats, publié des correctifs le 27 octobre et détaillé les failles mercredi.

Pourquoi c’est important

Ces révélations sont les premières à suivre une politique modifiée pour les bugs jugés « faciles à découvrir ». Auparavant, les développeurs pouvaient garder confidentielles les failles de gravité moyenne pendant un an au maximum, afin de laisser aux opérateurs de nœuds le temps d’effectuer la mise à jour. Désormais, l’objectif est de publier au plus vite des correctifs pour les versions prises en charge, accompagnés d’avis publics, car les modèles de langage ont réduit le coût de découverte de certains bugs.

L’analyse a utilisé un grand modèle de langage pour examiner le code de Bitcoin Core, mais des contributeurs humains ont vérifié chaque résultat avant qu’il ne soit transmis à l’équipe de sécurité. Un développeur avait également découvert indépendamment l’une des failles, six jours après le signalement de l’analyse, le 15 septembre. Elle pouvait permettre à un nœud connecté de prétendre utiliser une version obsolète du protocole, puis de le bloquer. Les messages pouvaient consommer jusqu’à 2 Mo de mémoire par heure pour chaque connexion entrante et 5 Mo par connexion sortante.

Effet sur le marché

Le troisième bug révélé était de faible gravité. Il concernait des blocs spécialement conçus, susceptibles de provoquer un dépassement de capacité dans les fichiers utilisés lors d’une réorganisation de la chaîne. Sur les machines 64 bits, l’attaque aurait nécessité environ un mois de production totale de blocs du réseau. Les systèmes Windows et 32 bits pouvaient tomber en panne, et un redémarrage n’aurait pas résolu le problème. Les nœuds sur des machines 32 bits ou utilisant d’anciens disques FAT32 restent exposés, même après l’installation du correctif.

Ces révélations portent sur la fiabilité et la sécurité de l’infrastructure Bitcoin, et non sur une modification du protocole Bitcoin ou un mouvement signalé du marché. Les notes de version de Bitcoin Core indiquent que trois autres vulnérabilités de gravité moyenne ou élevée, déjà corrigées dans la version 30.0, devraient être révélées dans deux semaines.