Schwachstelle im Remote-Ausführungscode von Bitcoin Core für Miner, 43% der Knoten nicht aktualisiert

Laut Protos vom 5. Mai haben Bitcoin-Core-Entwickler einen kritisch eingestuften Fehler CVE-2024-52911 auf ihrer offiziellen Website offengelegt. Der Fehler ermöglicht es Minern, indem sie Blöcke mit speziellen Eigenschaften minen, andere Nutzerknoten aus der Ferne zum Absturz zu bringen und unter bestimmten Bedingungen Code auszuführen. Da Full Nodes für Bitcoin inzwischen zu einem freiwilligen Vorgehen geworden sind, wird derzeit geschätzt, dass weiterhin etwa 43% der Knoten noch mit einer fehleranfälligen Altversion laufen.

Technische Details zur Schwachstelle

Laut der offiziellen Bekanntmachung von Bitcoin Core und dem Bericht von Protos vom 5. Mai handelt es sich bei CVE-2024-52911 um eine Speicher-Sicherheitslücke vom Typ „Use-After-Free“, die im Mechanismus zur parallelen Skriptvalidierung in Bitcoin Core vorhanden ist. Während der Blockvalidierung berechnet und cached Bitcoin Core zuvor Transaktionseingabedaten und verteilt die Skriptvalidierungsarbeit an Hintergrund-Threads; wenn der Hintergrund-Thread Cache-Daten liest, die von CScriptCheck bereits zerstört wurden, kann es zu einer Ausführung von Remote-Code kommen.

Bitcoin-Core-Entwickler Niklas Gögge erklärt, dies sei der erste „Memory-Safety“-Fehler in der Geschichte von Bitcoin Core. Die offizielle Bekanntmachung von Bitcoin Core bestätigt zudem, dass die Konsensregeln von Bitcoin durch die Behebung dieses Fehlers nicht geändert wurden.

Laut Protos-Bericht erfordert der Angriff, dass Miner große Rechenleistung für das Minen ungültiger Blöcke einsetzen, aus denen sie keine Blockbelohnungen erhalten können; die Kosten seien damit extrem hoch. Die offizielle Bekanntmachung von Bitcoin Core geht daher davon aus, dass die Schwachstelle in der Vergangenheit sehr wahrscheinlich nie tatsächlich ausgenutzt wurde.

Zeitplan der verantwortungsvollen Offenlegung

Laut der offiziellen Bekanntmachung von Bitcoin Core und dem Bericht von Protos vom 5. Mai sieht der Offenlegungszeitplan für CVE-2024-52911 wie folgt aus:

November 2024: Der Entwickler Cory Fields findet die Schwachstelle und meldet sie privat

November 2024 (vier Tage später): Pieter Wuille reicht den Fix-Plan als PR #31112 ein

Dezember 2024: PR #31112 wird in die Produktionsumgebung übernommen

April 2025: Bitcoin Core v29.0 wird veröffentlicht und enthält den Fix

19. April 2026: Die letzte noch fehleranfällige Versionenreihe (28.x) wird nicht mehr gewartet

5. Mai 2026: Bitcoin Core deckt den Fehler auf der offiziellen Website öffentlich auf

Aktueller Stand der Behebung

Laut Protos vom 5. Mai wird, da Full Nodes von Bitcoin inzwischen ein freiwilliges Verhalten sind und Updates nicht automatisch durchgeführt werden, geschätzt, dass weiterhin etwa 43% der Bitcoin-Knoten noch eine Version vor v29 ausführen, die den Fehler enthält. Bitcoin Core empfiehlt Betreibern, auf v29.0 oder eine neuere Version zu aktualisieren.

Häufige Fragen

Welche Auswirkungen hat CVE-2024-52911 auf Bitcoin-Nodes?

Laut der offiziellen Bekanntmachung von Bitcoin Core ermöglicht CVE-2024-52911 es Minern, Knoten mit Bitcoin Core 0.14.1 bis 28.4 durch das Minen spezieller Blöcke aus der Ferne zum Absturz zu bringen und unter bestimmten Bedingungen Remote-Code auszuführen; die Konsensregeln von Bitcoin wurden durch die Behebung dieses Fehlers nicht geändert.

Wie sollten Node-Betreiber auf CVE-2024-52911 reagieren?

Die von CVE-2024-52911 betroffenen Versionen sind Bitcoin Core 0.14.1 bis 28.4. Node-Betreiber sollten auf v29.0 oder eine neuere Version aktualisieren. Die letzte noch fehleranfällige 28.x-Version wurde am 19. April 2026 abgekündigt und nicht mehr gewartet.

Wurde CVE-2024-52911 jemals tatsächlich ausgenutzt?

Laut der offiziellen Bekanntmachung von Bitcoin Core und dem Bericht von Protos vom 5. Mai erfordert der Angriff, dass Miner große Rechenleistung einsetzen, um ungültige Blöcke zu minen, aus denen sie keine Blockbelohnungen erhalten, zu extrem hohen Kosten. Bitcoin Core ist der Ansicht, dass die Schwachstelle in der Vergangenheit sehr wahrscheinlich nie tatsächlich ausgenutzt wurde.