Bitcoin Core corrige deux failles de mémoire : Linux n’est épargné que par l’une d’elles

Une attaque rapide sur Windows, macOS et BSD

Bitcoin Core a rendu publiques le 28 octobre 2026 deux vulnérabilités permettant à un correspondant malveillant de faire augmenter la mémoire consommée par un nœud. Les deux avis les classent de gravité moyenne et les considèrent faciles à découvrir. Ils indiquent les mêmes versions corrigées : 29.5, 30.4, 31.2 et 32.1. La distinction essentielle concerne toutefois les machines exposées et la manière de provoquer la saturation. Lire uniquement la mention de Windows ou de macOS ne suffit pas à évaluer l’ensemble du problème.

La première faille concerne la réception de données urgentes dans une connexion TCP. Sur les plateformes autres que Linux, le mécanisme chargé de surveiller les connexions pouvait déclencher une lecture même après la suspension normale des données d’un correspondant trop lent à traiter. Celui-ci pouvait ainsi contourner la limite de la file d’attente et provoquer une consommation de mémoire sans borne. L’avis cite Windows, macOS et BSD parmi les systèmes concernés. Linux utilise un autre mécanisme et échappe à cette faille précise.

Une accumulation lente qui concerne aussi Linux

Le second avis décrit des annonces de transactions qui continuent à s’accumuler pour certains correspondants dont l’envoi est suspendu. Normalement, un nœud déconnecte un correspondant qui ne répond pas à son contrôle de présence. Mais cette protection ne s’appliquait pas aux correspondants prétendant ne pas prendre en charge les messages de contrôle introduits par BIP 31. Un attaquant pouvait exploiter cette situation en retardant stratégiquement la lecture des messages et laisser grossir la file d’attente.

Bitcoin Core décrit une croissance pouvant atteindre 2 mégaoctets par heure pour chaque connexion entrante et 5 mégaoctets par heure pour chaque connexion sortante concernée. Ce sont des limites décrites par l’avis, et non le bilan mesuré d’une attaque publique. Les nœuds configurés pour ne relayer que les blocs sont beaucoup moins touchés, les annonces de transactions formant la majeure partie de la file. Contrairement au premier problème, cet avis n’exclut pas les systèmes Linux de son périmètre.

Des versions corrigées à contrôler effectivement

Les deux problèmes ont été identifiés par une analyse automatisée utilisant un modèle de langage dans le cadre du projet Loupe d’Elias Rohrer, chez Spiral. Gregory Sanders a validé les résultats et les a transmis à l’équipe de sécurité de Bitcoin Core. Le problème d’accumulation lente a également été retrouvé indépendamment par L0rinc. Les avis distinguent cette détection, la validation humaine, l’intégration des correctifs et la divulgation publique : ces étapes ne se confondent pas avec une exploitation démontrée sur le réseau.

Les versions 31.2 et 32.1 ont été publiées le 27 octobre, puis les versions 29.5 et 30.4 le 28. Pour un exploitant, le contrôle utile porte sur le logiciel réellement exécuté par chaque nœud, y compris les installations secondaires. Les avis décrivent des atteintes à la disponibilité du service ; ils n’annoncent ni vol de clés privées ni perte de bitcoins. Une machine arrêtée peut néanmoins interrompre les applications qui dépendent de ses données. La mise à jour doit donc être vérifiée au niveau de l’installation concernée.