Bitcoin Core divulgue une faille de gravité moyenne liée à Tor

Bitcoin Core divulgue une faille touchant les pairs Tor entrants

Bitcoin Core a publié le 10 novembre 2026 l'avis de sécurité CVE-2025-62860, qui marque la divulgation publique de la faille. Selon ce document, les versions antérieures à 28.3, 29.2 et 30.0 font entrer les pairs Tor entrants dans une liste blanche lorsque l'opérateur du nœud l'a définie sur une plage d'adresses IP.

L'avis de Bitcoin Core classe ce problème en gravité moyenne (« Medium severity » en anglais).

L'adresse du démon Tor faisait entrer les connexions dans la liste blanche

Dans Bitcoin Core, une connexion Tor entrante se présente avec l'adresse IP du démon Tor, le programme local qui achemine le trafic du réseau Tor. Selon l'avis, ce démon fonctionne en général sur la même machine que le nœud ou sur le même réseau local.

Bitcoin Core plaçait une connexion Tor entrante en liste blanche dès que l'adresse du proxy Tor figurait dans la plage IP définie par l'option -whitelist, d'après l'avis de sécurité.

L'option -whitelist de Bitcoin Core vise les pairs de confiance : elle lève plusieurs limites contre le déni de service (DoS, saturation volontaire d'un nœud) et des protections contre les fuites de confidentialité, selon l'avis.

L'avis de Bitcoin Core ne dit pas si la faille a été exploitée ni quelles attaques concrètes elle permettait.

Des réglages de fournisseurs ont exposé des milliers de nœuds

Selon l'avis de Bitcoin Core, des fournisseurs qualifiés de « populaires » distribuaient le logiciel avec un démon Tor et réglaient -whitelist sur une plage IP correspondant à ce démon. Des logiciels clients de Bitcoin Core, souvent utilisés avec Tor, exigeaient aussi cette option pour fonctionner. L'avis ne nomme ni ces fournisseurs ni ces logiciels.

Ces configurations ont conduit des milliers de nœuds joignables du réseau principal de Bitcoin (« mainnet ») à accepter en liste blanche toutes les connexions Tor entrantes, d'après l'avis de Bitcoin Core, qui ne donne pas de chiffre exact.

Les versions corrigées sont sorties avant la divulgation publique

Martin Zumsande et Antoine Poinsot ont découvert la faille et l'ont signalée à l'équipe de sécurité de Bitcoin Core, selon la chronologie de l'avis. Le correctif, une demande de modification du code (« pull request ») numérotée #33395 et ouverte par Martin Zumsande, cesse de tenir compte des pairs Tor entrants dans l'application des permissions de liste blanche. Il a été rétroporté, c'est-à-dire appliqué aussi aux branches de versions antérieures.

La chronologie de l'avis de Bitcoin Core établit les étapes suivantes, de septembre 2025 à octobre 2026 :

Donnée	Valeur	Date	Source
Signalement de la faille	Équipe de sécurité de Bitcoin Core	12 septembre 2025	Avis de Bitcoin Core
Ouverture du correctif	PR #33395	15 septembre 2025	Avis de Bitcoin Core
Fusion et rétroportage du correctif	PR #33395	17 septembre 2025	Avis de Bitcoin Core
Signalement aux fournisseurs concernés	Plusieurs fournisseurs de logiciels	19 septembre 2025	Avis de Bitcoin Core
Version corrigée	Bitcoin Core 30.0	10 octobre 2025	Avis de Bitcoin Core
Version corrigée	Bitcoin Core 29.2	14 octobre 2025	Avis de Bitcoin Core
Version corrigée	Bitcoin Core 28.3	20 octobre 2025	Avis de Bitcoin Core
Fin de vie de la dernière branche vulnérable	Bitcoin Core 29.x	27 octobre 2026	Avis de Bitcoin Core

L'avis de Bitcoin Core n'annonce aucune autre échéance après la divulgation publique.