CVE-2025-62860 : des connexions Tor entrantes reçoivent à tort des permissions de liste blanche

L'équipe de Bitcoin Core précise que les nœuds Tor entrants recevaient parfois un traitement réservé aux pairs de confiance lorsque l'adresse du démon Tor correspondait à la plage IP définie par l'option -whitelist. Cette option permet de lever plusieurs limites contre les attaques par déni de service, ainsi que des protections contre certaines fuites de vie privée pour les pairs jugés fiables.

Ce qui a été corrigé

Selon le document, les connexions Tor entrantes reçues sur un onion bind ne sont jamais mises en liste blanche dans Bitcoin Core 30.0 et les versions suivantes, ainsi que dans 28.3 et 29.2, et dans toutes les versions mineures ultérieures. Les nœuds qui n'avaient pas activé l'option non par défaut -whitelist n'étaient pas concernés.

Le problème tenait au fait que l'adresse IP des pairs Tor entrants est celle du démon Tor, qui tourne généralement sur la même machine ou sur le réseau local. Si cette adresse correspondait à la plage IP déclarée dans -whitelist, Bitcoin Core pouvait autoriser ces connexions comme s'il s'agissait de pairs approuvés.

Le texte ajoute que des éditeurs populaires fournissaient Bitcoin Core avec un démon Tor et configuaient l'option -whitelist sur une plage IP correspondant à celle du démon Tor. Pour les logiciels clients de Bitcoin Core, cette option était aussi une exigence opérationnelle, souvent en parallèle d'un démon Tor. Résultat : des milliers de nœuds mainnet accessibles ont fini par mettre sur liste blanche toutes les connexions Tor entrantes.

Découverte et calendrier

Martin Zumsande et Antoine Poinsot ont découvert le problème et l'ont divulgué de manière responsable. La séquence commence le 2025-09-12, quand Martin et Antoine signalent l'issue à l'équipe de sécurité de Bitcoin Core.

Le 2025-09-15, Martin ouvre la PR #33395 pour ne plus prendre en compte les pairs Tor entrants lors de l'application des permissions de liste blanche. Le 2025-09-17, Antoine signale aussi le problème au mainteneur de Bitcoin Knots, Luke Dashjr, qui le reconnaît le même jour, tandis que la PR est fusionnée et rétroportée sur les versions précédentes.

Antoine informe plusieurs fournisseurs de logiciels affectés le 2025-09-19. Bitcoin Core 30.0 est publié avec le correctif le 2025-10-10, suivi de 29.2 le 2025-10-14 puis de 28.3 le 2025-10-20. La dernière version vulnérable de Bitcoin Core (29.x) arrive en fin de vie le 2026-10-27, avant la divulgation publique du 2026-11-10.