Bitcoin Core công bố 3 lỗ hổng khoảng 13 tháng sau khi vá

Ba lỗ hổng bảo mật trong Bitcoin Core, phần mềm nút mạng Bitcoin(BTC), được công bố ngày 10 tháng 11 năm 2026, khoảng 13 tháng sau khi các bản đã sửa được phát hành. Một lỗ hổng có thể khiến một số nút đào không tạo được bản nháp khối; hai lỗ hổng còn lại có thể làm suy yếu khả năng bảo vệ kết nối Tor và xử lý khối trong một số cấu hình nhất định.

Bitcoin Core công bố ba lỗ hổng với mã CVE-2025-62861, CVE-2025-62860 và CVE-2025-62859. Lỗ hổng đầu tiên được xếp mức độ nghiêm trọng cao, hai lỗ hổng còn lại ở mức trung bình.

Cả ba lỗ hổng đã được sửa trong các phiên bản 30.0 và 29.2, phát hành lần lượt vào ngày 10 và 14 tháng 10 năm 2025. Vì vậy, khoảng thời gian 13 tháng nói trên tính từ lúc phát hành bản đã sửa đến khi chi tiết lỗ hổng được công bố.

Thời điểm báo cáo các lỗ hổng khác nhau. CVE-2025-62859 được báo cáo ngày 28 tháng 4 năm 2025, khoảng 19 tháng trước khi công bố. CVE-2025-62860 được báo cáo ngày 12 tháng 9, còn CVE-2025-62861 được báo cáo ngày 26 tháng 9 năm 2025.

Chính sách công bố bảo mật của Bitcoin Core quy định chi tiết về các lỗ hổng mức trung bình và cao sẽ được công bố sau hai tuần kể từ khi phiên bản cuối cùng bị ảnh hưởng hết thời hạn hỗ trợ.

Ghi chú phát hành Bitcoin Core 32.1 cho biết phiên bản 29.x và các phiên bản cũ hơn đã hết hỗ trợ và sẽ không nhận thêm bản cập nhật. Ghi chú cũng nêu rằng chi tiết về ba lỗ hổng mức trung bình và cao đã được sửa trong phiên bản 30.0 sẽ được công bố sau hai tuần.

Phiên bản 29.x hết hỗ trợ ngày 27 tháng 10 năm 2026; ba thông báo được đăng đúng hai tuần sau đó, vào ngày 10 tháng 11. Lịch công bố lần này tuân theo chính sách phát hành bản sửa trước, rồi công bố chi tiết sau khi phiên bản bị ảnh hưởng hết hỗ trợ.

Lỗ hổng có mức độ nghiêm trọng cao nhất, CVE-2025-62861, phát sinh trong quá trình tái tổ chức chuỗi khối. Đây là quy trình trong đó nút mạng loại bỏ một số khối hiện có và chấp nhận một chuỗi hợp lệ khác. Khi giao dịch được đưa trở lại mempool, quy tắc loại bỏ giao dịch áp dụng sai có thể khiến quan hệ giữa các giao dịch trong đó không còn nhất quán.

Quy tắc loại bỏ giao dịch cùng nhóm của giao dịch phiên bản 3 (TRUC) cũng được áp dụng khi khôi phục giao dịch. Điều này có thể khiến giao dịch tiếp theo vẫn tồn tại dù giao dịch mà nó phụ thuộc vào đã bị loại bỏ. Các nút đào bị ảnh hưởng có thể không vượt qua bước kiểm tra tính hợp lệ của bản nháp khối và không tạo được bản nháp mới cho đến khi khởi động lại. Lỗi nằm ở chính sách truyền giao dịch, không phải ở các quy tắc đồng thuận.

CVE-2025-62860 chỉ xảy ra khi nhà vận hành dùng cấu hình -whitelist khác mặc định và đưa địa chỉ proxy Tor vào dải IP được chỉ định. Khi đó, kết nối Tor đến từ bên ngoài có thể bị xem như kết nối đáng tin cậy, làm suy yếu khả năng chống tấn công từ chối dịch vụ và một số biện pháp bảo vệ quyền riêng tư.

Bitcoin Core cho biết có hàng nghìn nút mainnet cho phép kết nối từ bên ngoài sử dụng cấu hình này. Các nút không dùng cấu hình -whitelist tùy chỉnh không bị ảnh hưởng.

CVE-2025-62859 xảy ra khi nút khôi phục một khối nén nhằm giảm lượng dữ liệu truyền tải, sau đó kiểm tra dữ liệu witness có bị sửa đổi hay không. Nếu bước kiểm tra thất bại, nút có thể yêu cầu lại toàn bộ khối từ cùng một đối tác kết nối và chờ tối đa 10 phút.

Kẻ tấn công có thể lặp lại độ trễ nếu kiểm soát cả ba kết nối băng thông cao của nút mục tiêu hoặc nếu nút đó dùng cấu hình -blocksonly. Bitcoin Core xếp lỗ hổng này ở mức độ nghiêm trọng trung bình.

Phạm vi sửa lỗi khác nhau tùy phiên bản. Phiên bản 28.3 đã sửa lỗi kết nối Tor và lỗi ảnh hưởng đến nút đào, nhưng chưa bao gồm đầy đủ cả ba lỗ hổng, trong đó có vấn đề xử lý khối. Các phiên bản đã sửa cả ba lỗ hổng là 29.2 và 30.0; phiên bản 29.x và cũ hơn hiện đã hết hỗ trợ.

Trước đó, TokenPost đã đưa tin về ba lỗ hổng có thể ảnh hưởng đến việc tạo bản nháp khối của nút đào và kết nối Tor, đồng thời nêu tác động kỹ thuật và phạm vi sửa lỗi. Các thông báo lần này cho thấy việc phát hành bản sửa và công bố chi tiết diễn ra ở hai giai đoạn; thời điểm công bố được sắp xếp theo chính sách hết hạn hỗ trợ.