Vulnérabilité dans le code d’exécution à distance des mineurs de Bitcoin Core : 43 % des nœuds n’ont pas été mis à jour

Selon Protos dans un article du 5 mai, des développeurs de Bitcoin Core ont dévoilé sur le site officiel une vulnérabilité critique, CVE-2024-52911. Celle-ci permet aux mineurs, en extrayant des blocs spécialement conçus, de faire s’effondrer à distance les nœuds d’autres utilisateurs et, dans des conditions précises, d’exécuter du code. Comme la mise à niveau des nœuds complets Bitcoin est désormais un comportement volontaire, on estime encore qu’environ 43 % des nœuds exécutent des anciennes versions logicielles vulnérables.

Détails techniques de la vulnérabilité

D’après l’annonce officielle de Bitcoin Core et l’article de Protos du 5 mai, CVE-2024-52911 est une vulnérabilité de sécurité de la mémoire de type « use-after-free » (libération puis utilisation). Elle se trouve dans le mécanisme de validation des scripts en parallèle de Bitcoin Core. Pendant la validation d’un bloc, Bitcoin Core calcule à l’avance et met en cache les données d’entrée des transactions, puis répartit le travail de validation de scripts vers un thread d’arrière-plan ; lorsque le thread d’arrière-plan lit des données mises en cache qui ont déjà été détruites par CScriptCheck, une exécution de code à distance peut se produire.

Le développeur de Bitcoin Core Niklas Gögge indique qu’il s’agit du premier bug « de sécurité de la mémoire » de l’histoire de Bitcoin Core. L’annonce officielle de Bitcoin Core confirme que les règles de consensus du Bitcoin n’ont pas changé à la suite de la correction de cette vulnérabilité.

D’après Protos, cette attaque exige que le mineur consacre une quantité importante de puissance de calcul à l’extraction de blocs invalides qui ne permettent pas d’obtenir la récompense de bloc ; le coût est donc extrêmement élevé. L’annonce officielle de Bitcoin Core estime ainsi que cette vulnérabilité n’a très probablement jamais été exploitée en pratique dans l’histoire.

Calendrier de divulgation responsable

Selon l’annonce officielle de Bitcoin Core et l’article de Protos du 5 mai, la chronologie de divulgation de CVE-2024-52911 est la suivante :

Novembre 2024 : le développeur Cory Fields découvre la vulnérabilité et la signale en privé

Novembre 2024 (quatre jours après la découverte) : Pieter Wuille soumet une proposition de correctif PR #31112

Décembre 2024 : la PR #31112 est fusionnée dans l’environnement de production

Avril 2025 : Bitcoin Core v29.0 est publié, incluant le correctif

19 avril 2026 : la dernière série de versions encore vulnérable (28.x) cesse d’être maintenue

5 mai 2026 : Bitcoin Core divulgue officiellement cette vulnérabilité sur son site officiel

Statut actuel du correctif

D’après l’article de Protos du 5 mai, comme la mise à niveau des nœuds complets Bitcoin est désormais un comportement volontaire et les mises à jour ne s’exécutent pas automatiquement, on estime qu’environ 43 % des nœuds Bitcoin exécutent encore des versions vulnérables antérieures à v29. Bitcoin Core recommande aux opérateurs de nœuds de passer à v29.0 ou à une version plus récente.

Questions fréquentes

Quel est l’impact de CVE-2024-52911 sur les nœuds Bitcoin ?

D’après l’annonce officielle de Bitcoin Core, CVE-2024-52911 permet aux mineurs, en extrayant des blocs spécialement conçus, de faire s’effondrer à distance des nœuds allant de Bitcoin Core 0.14.1 à 28.4, puis d’exécuter du code à distance dans certaines conditions ; les règles de consensus du Bitcoin n’ont pas changé à la suite de la correction de cette vulnérabilité.

Comment les opérateurs de nœuds devraient-ils réagir à CVE-2024-52911 ?

Les versions affectées par CVE-2024-52911 sont Bitcoin Core 0.14.1 à 28.4. Les opérateurs de nœuds doivent mettre à niveau vers v29.0 ou vers une version plus récente. La dernière version 28.x vulnérable a cessé d’être maintenue le 19 avril 2026.

CVE-2024-52911 a-t-elle déjà été exploitée en pratique ?

D’après l’annonce officielle de Bitcoin Core et l’article de Protos du 5 mai, cette attaque exige que le mineur consacre une quantité importante de puissance de calcul à l’extraction de blocs invalides ne donnant pas de récompense de bloc ; le coût est extrêmement élevé. Bitcoin Core estime ainsi que cette vulnérabilité n’a très probablement jamais été exploitée en pratique dans l’histoire.