Bitcoin Core corrige une faille de whitelist sur les connexions Tor
Les versions de Bitcoin Core antérieures à 28.3, 29.2 et 30.0 présentaient une faiblesse : elles attribuaient incorrectement des privilèges de whitelist aux nœuds se connectant via Tor. Ce bug, catalogué CVE-2025-62860, signifiait que les adresses IP des pairs Tor étaient incluses dans les listes de confiance, ce qui pouvait potentiellement contourner des limites de protection contre les attaques par déni de service (DoS) ou des fuites de confidentialité.
L’enjeu était technique mais significatif. En effet, quand un nœud Bitcoin Core recevait une connexion Tor sur un onion bind, il utilisait l’adresse du démon Tor, et si celle-ci correspondait à une plage IP définie dans la configuration -whitelist, le nœud la considérait comme fiable. Or, les connexions entrantes via Tor ne révèlent jamais l’adresse réseau réelle de l’interlocuteur, ce qui rend cette inclusion dans la whitelist problématique, comme le souligne Martin Zumsande.
La correction est désormais intégrée. Les versions 30.0, 29.2 et 28.3 ont reçu les mises à jour nécessaires. Selon l’annonce de github.com, les développeurs ont rendu le processus de whitelisting insensible aux connexions Tor entrantes. Martin Zumsande a précisé dans la Pull Request que « Les connexions entrantes Tor ne révèlent pas l’adresse réseau réelle du pair. Par conséquent, ne pas appliquer les permissions de whitelist à celles-ci. »
Cette faille était particulièrement sensible car de nombreux fournisseurs utilisaient Bitcoin Core avec un démon Tor intégré et avaient configuré l’option -whitelist pour inclure la plage IP de ce démon. Cela avait eu pour effet d’autoriser des milliers de nœuds principaux à accepter toutes les connexions entrantes via Tor, sans distinction de fiabilité.
Les équipes de Bitcoin Core ont procédé à une divulgation responsable. Martin Zumsande et Antoine Poinsot ont alerté l’équipe de sécurité en septembre 2025. La Pull Request #33395, qui contenait la solution, a été fusionnée et backportée en quelques jours, avant que les correctifs ne soient officiellement rendus publics dans les versions 28.3, 29.2 et 30.0.
Difficile de ne pas y voir un exemple classique de la nécessité de l’audit de code régulier. Même si le risque était qualifié de « Medium severity » par Bitcoin Core, l’impact potentiel sur la confidentialité des nœuds en réseau reste une préoccupation sérieuse. Il faut surveiller que les utilisateurs de versions plus anciennes mettent bien à jour leur logiciel.
Bitcoin Core confirme que « Inbound Tor connections received on an onion bind are never whitelisted in Bitcoin Core 30.0 and all later versions, as well as 28.3 and later minor versions and 29.2 and later minor versions ».
