Desenvolvedores do Bitcoin revelam vulnerabilidade que foi corrigida

Uma vulnerabilidade que afeta as versões anteriores do Bitcoin Core – o software de código aberto que alimenta o Bitcoin – foi divulgada pelo colaborador e desenvolvedor do Core Andrew Chow na segunda-feira (01). O problema, que foi corrigido, é conhecido por outros desenvolvedores de Bitcoin e comumente afeta os navegadores da web, mas não causou nenhuma interrupção.

Em um tweet, Chow disse que a vulnerabilidade estava presente no Bitcoin Core 0.18 e anteriores, mas foi corrigida desde a versão 0.19. Para referência, Bitcoin atualmente roda na versão 0.21.0.

Mas, apesar do aviso, Chow disse que o ataque provavelmente não causaria danos. “Com as atenuações presentes em navegadores modernos e ambientes de desktop Linux, não acredito que essa vulnerabilidade possa realmente ser explorada”, disse ele.

Chow acrescentou: “No entanto, se pudesse ser explorado, poderia levar a um RCE (ou seja, código malicioso sendo executado no computador da vítima).”

O ataque

O ataque girou em torno de três aspectos técnicos: um URI, abreviação de Unified Resource Identifier; um identificador usado por computadores para identificar objetos do mundo real e digitais, Qt5, um programa gratuito que cria interfaces gráficas e, por último, a forma como esses dois são tratados em um computador.

Chow disse que, como as injeções de URI – o termo específico para a natureza da vulnerabilidade – são um problema conhecido, os desenvolvedores de software (os desenvolvedores do Bitcoin neste caso) sabem como evitar isso.

Isso significa, em termos simples, que os desenvolvedores geralmente e facilmente evitam qualquer informação sinalizada enviada por URIs e previnem ataques. No entanto, o problema estava no Qt5, o software gráfico, que não reconhecia quaisquer URIs com defeito e poderia ter permitido a passagem de argumentos indesejados (variáveis ​​digitais que contêm dados).

Em teoria, tal vulnerabilidade faz com que um código ilícito envie dados / instruções falsos para um computador e instale um plugin malicioso. Isso pode causar o mau funcionamento do sistema do usuário e / ou outras formas de crime cibernético, como roubo de dados.

Mas, felizmente, a maioria dos navegadores da web já possui sistemas embutidos para evitar esses ataques e sinalizar a ocorrência de qualquer argumento indesejado. Isso significa que, enquanto a vulnerabilidade estava presente, era difícil de explorar, com Chow afirmando que poderia até ser impossível causar danos.

Enquanto isso, a vulnerabilidade foi uma das primeiras dessas instâncias no Bitcoin Core. E vale a pena repetir novamente: o próprio Bitcoin permanece ileso – o ataque estava presente em versões anteriores do software e poderia, teoricamente, afetar os dispositivos do usuário, não o protocolo em si.