Bitcoin Core rend publics immédiatement des bugs découverts par l’IA
Cette divulgation fait suite à une analyse par IA qui a mis au jour trois vulnérabilités, dont un plantage sur Windows, macOS et BSD. Bitcoin Core adapte sa politique de signalement afin de corriger et de publier plus rapidement.
À retenir
- Bitcoin Core a rendu publiques trois failles de sécurité découvertes par une analyse par IA dans le code.
- Une erreur pouvait faire planter des nœuds Bitcoin sur Windows, macOS et BSD à cause d’un dépassement de mémoire.
- Le projet adapte sa politique et signale désormais au plus vite les bugs faciles à repérer.
Bitcoin Core a rendu publiques trois failles de sécurité découvertes par une analyse par IA, dont une erreur pouvant faire planter des nœuds Bitcoin sur Windows et Mac. Cette décision montre à quelle vitesse l’IA peut désormais repérer des points faibles dans les logiciels open source, et comment Bitcoin Core adapte en conséquence sa politique de sécurité.
Plantage de nœud sur Windows et Mac
La première erreur a été découverte le 23 octobre par une analyse par IA. Un ordinateur qui se connectait à un node Bitcoin sur Windows, macOS ou BSD pouvait saturer ce node en données jusqu’à ce que la mémoire soit pleine et que le système plante. Les développeurs ont confirmé la faille le jour même, ont publié un correctif le 27 octobre et ont rendu les détails publics mercredi.
Un node est le logiciel qui vérifie et relaie chaque transaction Bitcoin. Bitcoin Core est le programme exécuté par la plupart des nodes. Jusqu’à la semaine dernière, le projet gardait souvent secrètes pendant jusqu’à un an les bugs de gravité moyenne comme celui-ci, afin de laisser le temps aux administrateurs de mettre à jour leurs systèmes avant qu’un attaquant ne puisse exploiter la faille. Chez Core Lightning aussi, des découvertes de bugs pilotées par l’IA ont déjà conduit à une alerte accélérée pour les opérateurs.
Nouvelle politique de signalement rapide
Cette approche a changé le 22 octobre pour les bugs que Bitcoin Core considère comme faciles à repérer. Selon le projet, ces erreurs sont désormais corrigées le plus rapidement possible dans toutes les versions prises en charge, avec un signalement public immédiat. Cela s’inscrit dans une tendance plus large en cybersécurité, où l’IA est de plus en plus utilisée pour détecter et signaler plus vite les vulnérabilités.
Les trois bugs proviennent d’une analyse automatisée qui a utilisé un large modèle de langage pour examiner le code de Bitcoin Core. Ensuite, un contributeur humain a vérifié chaque découverte avant de la transmettre à l’équipe de sécurité. C’est important pour les utilisateurs, car une publication plus rapide signifie aussi que les mises à jour et les processus de contrôle s’enchaînent plus vite.
D’autres erreurs à venir
Le deuxième bug montre pourquoi le projet a modifié ses règles. Un nœud connecté pouvait faire semblant d’exécuter une version plus ancienne du protocole, puis se bloquer. Les messages s’accumulaient dans la mémoire de la victime, jusqu’à 2 MB par heure pour chaque connexion entrante et 5 MB par heure pour chaque connexion sortante.
Le troisième bug a reçu un score de gravité faible. Un mineur pouvait créer des blocs qui faisaient déborder les fichiers destinés à une réorganisation, c’est-à-dire le moment où le réseau remplace quelques blocs récents par un ensemble concurrent. Sur des machines 64 bits, une telle attaque nécessiterait environ un mois de production complète de blocs par le réseau. Sur Windows et les systèmes 32 bits, le node peut s’arrêter immédiatement, et un redémarrage ne suffit alors pas. Les nodes sur des machines 32 bits ou avec des blocs stockés sur d’anciens disques FAT32 restent également vulnérables après le correctif.
Les notes de version indiquent par ailleurs que trois autres bugs de gravité moyenne et élevée seront rendus publics dans la version 30.0 dans deux semaines.
