سه آسیب‌پذیری در نرم‌افزار بیت‌کوین کور که یک اسکن خودکار مبتنی بر مدل زبانی بزرگ پیدا کرده بود، این هفته عمومی شد. یکی از آن‌ها می‌توانست نودهای ویندوز، مک و BSD را با پر کردن حافظه از کار بیندازد.
به گزارش کوین‌دسک، این سه مورد نخستین باگ‌هایی هستند که طبق قاعده‌ی تازه‌ی بیت‌کوین کور برای باگ‌های آسان‌یاب افشا می‌شوند. همه‌ی یافته‌های اسکن پیش از رسیدن به تیم امنیتی پروژه به‌دست یک مشارکت‌کننده‌ی انسانی بررسی شده بود.
سه باگ و وضعیت هرکدام
- پر شدن حافظه از مسیر TCP: هر رایانه‌ای که به نود وصل بود می‌توانست آن‌قدر داده بفرستد که حافظه تمام شود و نود از کار بیفتد. این مشکل نودهای ویندوز، macOS و BSD را در بر می‌گرفت. اسکن هوش مصنوعی آن را ۲۳ اکتبر پیدا کرد، توسعه‌دهندگان همان روز تاییدش کردند و اصلاح آن ۲۷ اکتبر منتشر شد. کوین‌دسک این اصلاح را به نسخه‌ی 32.1 مرتبط کرده است.
- انباشت پیام با پروتکل متوقف‌شده: نود مهاجم خود را با نسخه‌ی قدیمی پروتکل معرفی می‌کرد و بعد از کار می‌ایستاد؛ در نتیجه پیام‌ها در حافظه‌ی قربانی جمع می‌شد، تا ۲ مگابایت در ساعت برای هر اتصال ورودی و ۵ مگابایت در ساعت برای هر اتصال خروجی. این یافته ۱۵ سپتامبر گزارش شد و شش روز بعد یک توسعه‌دهنده‌ی دیگر به‌طور مستقل به همان مشکل رسید.
- سرریز فایل‌های undo با شدت پایین: یک ماینر می‌توانست با ساختن بلاک‌های خاص، فایل‌هایی را که نود برای بازآرایی زنجیره نگه می‌دارد سرریز کند. روی سیستم‌های ۶۴ بیتی این کار تقریبا به اندازه‌ی یک ماه کل تولید بلاک شبکه زمان می‌برد، اما در ویندوز و سیستم‌های ۳۲ بیتی ممکن است نود کاملا از کار بیفتد. نودهای ۳۲ بیتی و نودهایی که بلاک‌ها را روی درایو FAT32 نگه می‌دارند حتی پس از اصلاح هم در معرض این مشکل می‌مانند.
قاعده‌ی تازه برای باگ‌های آسان‌یاب
بیت‌کوین کور پیش‌تر باگ‌های با شدت متوسط را تا یک سال مخفی نگه می‌داشت تا اپراتورها پیش از آگاهی مهاجمان فرصت به‌روزرسانی داشته باشند. از ۲۲ اکتبر، باگ‌هایی که پروژه آن‌ها را «easily discoverable» یعنی به‌آسانی قابل کشف بداند، با این استدلال که مدل‌های زبانی پیدا کردنشان را ارزان کرده‌اند، در سریع‌ترین زمان ممکن برای همه‌ی نسخه‌های پشتیبانی‌شده اصلاح می‌شوند و همراه با یک اطلاعیه‌ی عمومی منتشر می‌شوند.
طبق همین گزارش، سه باگ دیگر با شدت متوسط و بالا که در نسخه‌ی 30.0 اصلاح شده‌اند، قرار است دو هفته‌ی دیگر افشا شوند.
منبع: کوین‌دسک