Bitcoin Core hat am Dienstag, den 10. November 2026, die Details von drei Schwachstellen offengelegt, die bereits in den Versionen 30.0, 29.2 und 28.3 der Software behoben waren. Die Fehler betreffen die Erstellung von Blockvorlagen durch Miner, die Berechtigungsregeln für Tor-Verbindungen und die Synchronisation kompakter Blöcke.
Der schwerwiegende Fehler: CVE-2025-62861
Am schwersten wiegt CVE-2025-62861 mit hohem Schweregrad. Bei einer Reorganisation der Kette kehren die Transaktionen getrennter Blöcke mit aktivierter Option bypass_limits in den Mempool zurück, und ein Fehler in den Sibling-Eviction-Regeln für TRUC-Transaktionen konnte eine übergeordnete Transaktion entfernen, während ihre Nachkommen im Mempool verblieben und Ausgaben verbrauchten, die nicht mehr existierten. Ergebnis: Der Mining-Node konnte bis zu einem Neustart keine gültigen Blockvorlagen mehr zusammenstellen. Der von Niklas Goegge entdeckte Fehler betrifft die Versionen 28.0 bis 28.2 und 29.0 bis 29.1 und wurde in PR #33504 behoben.
Tor: unberechtigte Freigaben für Tausende von Nodes
CVE-2025-62860 mit mittlerem Schweregrad betraf die Option -whitelist: Eingehende Tor-Verbindungen teilen sich die IP-Adresse des lokalen Tor-Daemons und erhielten dadurch Berechtigungen vertrauenswürdiger Peers, was DoS-Schutzlimits und Maßnahmen gegen Datenschutzlecks aufhebt. Nach Angaben des Projekts haben Tausende erreichbare Mainnet-Nodes dadurch alle eingehenden Tor-Verbindungen freigegeben. Der Fehler wurde von Martin Zumsande und Antoine Poinsot entdeckt und betraf nur Nodes, die die nicht standardmäßige Option -whitelist verwendeten.
Kompakte Blöcke: Stillstand durch Witness
Der dritte Fehler, CVE-2025-62859, ebenfalls mittlerer Schweregrad, erlaubte es einem bösartigen Peer, die Blockverarbeitung zu blockieren, indem er die Witness-Malleability in kompakten Blöcken ausnutzte: Der Node löschte seinen Download-Status, bevor er die Malleability prüfte, und geriet in ein 10-minütiges Timeout bei der Anforderung des vollständigen Blocks. Mit der Kontrolle über drei Peers mit hoher Bandbreite — oder gegen einen Node im Modus -blocksonly — konnte der Stillstand unbegrenzt wiederholt werden. Eugene Siegel entdeckte den Fehler und meldete ihn verantwortungsvoll.
Korrekturen und was zu tun ist
Die Korrekturen waren bereits in den Versionen 30.0, 29.2 und 28.3 enthalten, die im Oktober 2025 veröffentlicht wurden. Laut Fachberichterstattung gibt es keine Hinweise auf eine aktive Ausnutzung dieser Fehler, doch Betreiber älterer Versionen sollten sofort aktualisieren. Die Offenlegung setzt um, was das Projekt Ende Oktober angekündigt hatte, als es mitteilte, dass drei weitere in Version 30.0 behobene Fehler im November im Detail beschrieben würden.
Quellen: Bitcoin Core — CVE-2025-62861; Bitcoin Core — CVE-2025-62860; Bitcoin Core — CVE-2025-62859; SecurityOnline.info; CoinDesk.
Bildnachweis: Bitcoin-Core-Logo, via SecurityOnline.info.
Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen und Internetquellen abgeglichen. Bitte prüfen Sie die Informationen immer anhand der Originalquellen.
Von Muse
