Bitcoin Forum
March 28, 2024, 04:49:23 PM *
News: Latest Bitcoin Core release: 26.0 [Torrent]
 
   Home   Help Search Login Register More  
Pages: [1]
  Print  
Author Topic: Уязвимость в версиях 0.5-0.6 для Windows  (Read 12888 times)
DeepBit (OP)
Donator
Hero Member
*
Offline Offline

Activity: 532
Merit: 501


We have cookies


View Profile WWW
March 17, 2012, 01:08:46 AM
Last edit: March 17, 2012, 08:25:59 AM by DeepBit
 #1

Найдена потенциальная критическая уязвимость в версиях Bitcoin-Qt от 0.5 до 0.6 для Windows. Если вы используете одну из этих версий, отключите её и обновитесь до 0.5.3.1 или 0.6rc4 немедленно.

Версия для командной строки, версии до 0.5, а также версии для Linux и MacOS не подвержены этой уязвимости.

Из-за сути проблемы мы считаем что злоумышленнику будет сложно сделать что-либо помимо завершения процесса Bitcoin-Qt с ошибкой, но поскольку есть теоретическая вероятность что это может вызвать удалённое выполнение кода, мы считаем эту уязвимость критической.

Если у вас есть какие-либо вопросы, обращайтесь на канал #bitcoin-dev сети Freenode.

Вы можете скачать обновлённые исполняемые файлы с SourceForge: 0.6 RC или 0.5.3.1

Welcome to my bitcoin mining pool: https://deepbit.net ~ 3600 GH/s, Both payment schemes, instant payout, no invalid blocks !
Coming soon: ICBIT Trading platform
1711644563
Hero Member
*
Offline Offline

Posts: 1711644563

View Profile Personal Message (Offline)

Ignore
1711644563
Reply with quote  #2

1711644563
Report to moderator
In order to achieve higher forum ranks, you need both activity points and merit points.
Advertised sites are not endorsed by the Bitcoin Forum. They may be unsafe, untrustworthy, or illegal in your jurisdiction.
Aion2n
Hero Member
*****
Offline Offline

Activity: 700
Merit: 503



View Profile
March 17, 2012, 08:20:25 AM
 #2

Update is complete  Wink
Thx for the information.
Fireball
Hero Member
*****
Offline Offline

Activity: 674
Merit: 500


View Profile WWW
March 17, 2012, 08:55:49 AM
 #3

То критический RDP exploit в Windows, то уязвимость в QT-версии Bitcoin...

Обновил на виндовой машине до 0.6rc4, проблем с апгрейдом не замечено.

Margin trading platform OrderBook.net (ICBIT): https://orderbook.net
Follow us in Twitter: https://twitter.com/orderbooknet
O01eg
Full Member
***
Offline Offline

Activity: 209
Merit: 100



View Profile WWW
March 17, 2012, 12:58:51 PM
 #4

Какая красота. А в "правильных" версиях будет вставлен настоящий зонд?

BC: 1LhZ2ooo1egD7wKT5pBmEhN6wpUExYek2H
"Социализм -- это экономическая политика толпы, масс, лишенных понимания природы экономической деятельности. Социалистическая теория есть результат их подхода к экономическим вопросам. Она создана и поддерживается теми, для кого экономическая жизнь враждебна, кто не понимает ее." Людвиг фон Мизес
"The rotter who simpers that he sees no difference between the power of the dollar and the power of the whip, ought to learn the difference on his own hide – as, I think, he will." Francisco d’Anconia
N.Z.
Sr. Member
****
Offline Offline

Activity: 427
Merit: 250



View Profile
March 17, 2012, 02:45:39 PM
 #5

+1, чтоб забыть про винду для работы и серьезных (=финансовых) дел
Balthazar
Legendary
*
Offline Offline

Activity: 3108
Merit: 1358



View Profile
March 17, 2012, 07:13:28 PM
Last edit: March 17, 2012, 07:24:06 PM by Balthazar
 #6

2 N.Z.

Завтра Вася Пупкин напишет клиент для онлайн-тетриса с переполнением стека и виноват тоже майкрософт будет? Если да, то такая логика гениальна. Grin Нет, я не говорю что винда супер и все остальное отстой, но не доходите до полного маразма же. Это просто повезло, что уязвимость проявляется только на отдельно взятой платформе, и только. Я уж не говорю о том, что эксплуатация подобных уязвимостей стала сильно осложненной в свете развития компиляторов и механизмов активной защиты типа DEP. Грохнуть процесс - нет проблем, выполнить код - большая проблема. C/C++ на любой платформе были и остаются C/C++. "Си — инструмент, острый, как бритва: с его помощью можно создать и элегантную программу, и кровавое месиво." (с) Керниган. Так что куда бы вы ни сбежали, пока юзаете написанный на C/C++ софт, за вами будут бегать и переполнения стека, ошибки форматирования строки и остальное.
ArsenShnurkov
Legendary
*
Offline Offline

Activity: 1386
Merit: 1000



View Profile
March 20, 2012, 02:22:59 AM
 #7

http://gavintech.blogspot.com/2012/03/full-disclosure-bitcoin-qt-on-windows.html

Quote
A major bug in Bitcoin-Qt on Windows went unnoticed for over four months. The bug was in the bitcoin-qt.pro file, in these two lines of code:

    windows:LIBS += -lws2_32 -lshlwapi
    windows:DEFINES += WIN32

See the bug?

I don't-- I can't see it, because the problem was Bitcoin-Qt on Windows should have been linked with the "mingw" multithreading library and compiled with the -D_MT to turn on support for multithread-safe C++ exception handling in the "mingw" library (you can see the 3-line fix here).

There might be developers reading this who have had experience writing multithreaded mingw-based C++ applications who will say "Duh! You guys are idiots, everybody knows that!"

If that's you and you're interested in Bitcoin:  we need people like you to help out! Review the code, review the build process, let us know when we're being idiots. There seem to be a lot fewer Windows developers willing to help out with Bitcoin than Linux or Mac developers, which is unfortunate since a majority of our downloads are Windows users.


Non-mingw-C++-multithreaded developers are reading this and thinking "the bug was THERE?  Not in some #ifdef WINDOWS C++ code or some slightly-out-of-date library that you were linking against?"


The other reason this bug went unnoticed for so long is because it almost never matters. Bitcoin-Qt doesn't throw a lot of exceptions normally, and most of the time the single-threaded-application exception support in mingw works just fine. I'm still not sure exactly what triggers the bug-- probably something like two threads throwing exceptions at the same time, or one thread being interrupted while in a try{} block and then resuming later and crashing because the exception handling code is in a different state.

Matt Corallo deserves a lot of credit for being persistent and finding the bug when investigating hard-to-reproduce reports of Bitcoin-Qt crashing sometimes when run with the -server flag and handling JSON-RPC requests. He was never able to get the code to crash when running outside of the debugger, which is typical of bugs related to multithreading. But he did see crashes not involving RPC requests, and that is why we consider this a critical issue and are telling everybody affected to upgrade immediately.

It it exploitable? Could an attacker craft bitcoin protocol messages that triggered the bug and compromised Windows computers? Has it already been exploited?

We don't know. We think it would be extremely difficult to craft a usable exploit, partly because it is hard to even trigger the bug reliably but also because Bitcoin-Qt has some security-in-depth to try to prevent this type of bug from becoming exploitable.

If we're very careful and extremely lucky, this will be the last time we have to tell users to shutdown and upgrade immediately because of some potential vulnerability. But there is no such thing as perfect security, and I expect that there will be another subtle bug either in Bitcoin or in one of the many libraries we link against that becomes a potential security issue.

That doesn't mean we give up and go back to paying each other with cowrie shells; it means we assume that devices get compromised and design around that assumption. I think that is a lesson that the entire software industry needs to learn better.
Balthazar
Legendary
*
Offline Offline

Activity: 3108
Merit: 1358



View Profile
March 24, 2012, 09:48:46 AM
 #8

Ну тогда это не уязвимость даже, а фигня какая-то. С чего так паниковать...
LZ
Legendary
*
Offline Offline

Activity: 1722
Merit: 1072


P2P Cryptocurrency


View Profile
March 24, 2012, 10:44:21 AM
Last edit: March 24, 2012, 10:58:14 AM by lzsaver
 #9

Я с самого начала так решил. Очевидно, что это было прикрытие, чтобы протолкнуть BIP30.
Обратите внимание, что на http://bitcoin.org/critfix, ссылка на Bitcoin 0.6 расположена выше
ссылки на Bitcoin 0.5.3.1, такими вот нечестными путями они за одно проталкивают и BIP16.
Пожалуй, я позволю себе в очередной раз посеять зернышки сомнения в ряды биткоинеров.

When I first heard about bitcoin, my questions were:
1) Can it possibly work (do the ideas for how it works make sense)?
2) Is it a scam?
3) If it is not a scam, could it open my computer up to viruses/trojans if I run it?

I'd strongly suggest that you:
1) Run the software in a virtual machine or on a machine that doesn't contain anything valuable.
2) Don't invest more money or time than you can afford to lose.
3) Use a different passphrase at every exchange site.

But I've said it before and I'll say it again:  don't trust me. I make mistakes.

My OpenPGP fingerprint: 5099EB8C0F2E68C63B4ECBB9A9D0993E04143362
DeepBit (OP)
Donator
Hero Member
*
Offline Offline

Activity: 532
Merit: 501


We have cookies


View Profile WWW
March 24, 2012, 12:10:56 PM
 #10

Я с самого начала так решил. Очевидно, что это было прикрытие, чтобы протолкнуть BIP30.
BIP30 - это правильный фикс, не вызывающий сомнений.

Обратите внимание, что на http://bitcoin.org/critfix, ссылка на Bitcoin 0.6 расположена выше
ссылки на Bitcoin 0.5.3.1, такими вот нечестными путями они за одно проталкивают и BIP16.
Теперь-то что проталкивать, большинство уже набрано. Во-вторых я думаю что большинство мощных пулов и соло-майнеров работают НЕ под Windows, так что эта гипотеза не очень правдоподобна. Хотя, конечно, зловеща.

Welcome to my bitcoin mining pool: https://deepbit.net ~ 3600 GH/s, Both payment schemes, instant payout, no invalid blocks !
Coming soon: ICBIT Trading platform
LZ
Legendary
*
Offline Offline

Activity: 1722
Merit: 1072


P2P Cryptocurrency


View Profile
March 24, 2012, 02:16:31 PM
Last edit: June 16, 2012, 11:34:36 PM by LZ
 #11

BIP30 - это правильный фикс, не вызывающий сомнений.
Не спорю. Но с таким же успехом они могли бы протолкнуть и неправильный.
Нас никто не спрашивает, хотим ли мы. Просто нагло грохают старые версии.
Под шум критической уязвимости никто и не обратит внимание, что решение
теперь принимается новым Большим Братом, но не обычными пользователями.


UPD. Уже не считаю, что фикс был правильным (линк).

My OpenPGP fingerprint: 5099EB8C0F2E68C63B4ECBB9A9D0993E04143362
rPman
Legendary
*
Offline Offline

Activity: 1120
Merit: 1069


View Profile WWW
March 25, 2012, 09:35:06 AM
Last edit: March 25, 2012, 02:22:54 PM by rPman
 #12

Всем известно, что абсолютно любой децентрализованный проект имеет основополагающую 'уязвимость' своей децентрализации - разработчики, у вас есть варианты решения этой проблемы?

Кому то приходится доверять, и в данном случае - разработчикам в лице Гэйвина... Мало того, в случае с bitcoin есть еще крупнейшие пулы майнинга, в лице DeepBit/BtcGuild/Slush/Eligius - mtgox/..., которые так же имеют ощутимое влияние на проект в целом... остальная серая масса - не имеет значения (я еще не говорю про ряд других проектов, использующих bitcoin, так как их влияние на сеть хоть и сильное, но косвенное).

lzsaver, у вас есть разумные и вменяемые варианты решения этой фундаментальной проблемы, если, по вашему мнению, сеть уже терпит 'серьезную атаку' (о которой вы так ничего и не сказали) на ее 'свободу и независимость'.

Здесь не может находиться ваша реклама Smiley
Protect a future of bitcoin, use p2pool
Donation in BTC: 19fv5yYtfWZ9jQNjx2ncmu1TTrvg5CczZe
Balthazar
Legendary
*
Offline Offline

Activity: 3108
Merit: 1358



View Profile
March 25, 2012, 03:53:13 PM
 #13

Детский сад "ромашка".
LZ
Legendary
*
Offline Offline

Activity: 1722
Merit: 1072


P2P Cryptocurrency


View Profile
March 25, 2012, 05:36:01 PM
 #14

lzsaver, у вас есть разумные и вменяемые варианты решения этой фундаментальной проблемы
Есть. Но я предпочитаю не обсуждать, а действовать. Хоть и не всегда публично.

если, по вашему мнению, сеть уже терпит 'серьезную атаку' (о которой вы так ничего и не сказали) на ее 'свободу и независимость'.
Мне не нужно общественное мнение, что Bitcoin - очередной провал вроде RPOW.

Детский сад "ромашка".
Как частный случай приучения к дисциплине и подавления свободы? Да, это так.

My OpenPGP fingerprint: 5099EB8C0F2E68C63B4ECBB9A9D0993E04143362
Pages: [1]
  Print  
 
Jump to:  

Powered by MySQL Powered by PHP Powered by SMF 1.1.19 | SMF © 2006-2009, Simple Machines Valid XHTML 1.0! Valid CSS!