Bitcoin Core hat am Dienstag, 10. November, die Details von drei im Jahr 2025 behobenen Schwachstellen offengelegt. Eine davon wurde mit hohem Schweregrad eingestuft, weil sie einen Mining-Node nach einer Chain-Reorganisation daran hindern konnte, Blöcke zu erzeugen. Die Offenlegung erfolgte zwei Wochen, nachdem die letzte betroffene Version 29.x am 27. Oktober 2026 das End of Life erreicht hatte.
Die drei Schwachstellen
Die Advisories wurden über einen GitHub-Pull-Request auf der offiziellen Website ergänzt, den darosior eröffnet und fanquake am selben Tag gemergt hat. Laut PR-Beschreibung wurden die Bugs zwei Wochen zuvor zusammen mit dem Release 32.1 vorab angekündigt.
- CVE-2025-62859 - die Blockverarbeitung konnte durch einen Peer blockiert werden, der einen Compact Block mit manipulierter Witness ankündigte
- CVE-2025-62860 - eingehende Tor-Verbindungen erhielten fälschlich -whitelist-Berechtigungen, wodurch DoS- und Privacy-Schutz aufgehoben wurden
- CVE-2025-62861 - die Block-Template-Erstellung wurde durch die TRUC-(v3-)Sibling-Eviction während eines Reorgs gestoppt
CVE-2025-62861 wird im veröffentlichten Advisory mit hohem Schweregrad bewertet.
So funktionierte der Bug mit hohem Schweregrad
TRUC-Transaktionen (Version 3, definiert in BIP 431) dürfen im Mempool höchstens einen unbestätigten Vorgänger und einen unbestätigten Nachfolger haben. Würde eine neue Transaktion einem TRUC-Parent ein zweites unbestätigtes Kind geben, verdrängt die in v28.0 eingeführte Sibling-Eviction-Logik das bestehende Kind nach den Replace-by-fee-Regeln, sofern die neue Transaktion genug zahlt.
Dabei handelt es sich um Mempool-Policy-Regeln und nicht um Konsensregeln, sodass ein gültiger Block jede beliebige Topologie enthalten kann. Bei einem Reorg werden Transaktionen aus getrennten Blöcken mit bypass_limits=true wieder in den Mempool aufgenommen. Die TRUC-Prüfung war jedoch nicht an dieses Flag gebunden und lief trotzdem.
Die Folge: Eine wiederhergestellte Transaktion konnte verdrängt werden, während ihre Nachfolger im Mempool blieben und Outputs ausgaben, die nicht mehr existierten. Das vom Miner zusammengestellte Block-Template fiel dann durch die Gültigkeitsprüfung, und der Node konnte keine Blöcke erzeugen, bis ein Neustart den Mempool in einem konsistenten Zustand neu lud.
Wer betroffen war und wann der Fix kam
Der Fix steckt in PR #33504 von Greg Sanders, der die TRUC-Prüfungen an bypass_limits koppelt. Den Bug entdeckte und meldete Niklas Goegge verantwortungsvoll.
Datum | Ereignis |
|---|---|
26. Sep. 2025 | Niklas Goegge meldet den Bug an die Security-Mailingliste |
2. Okt. 2025 | PR #33504 wird in master gemergt |
10. Okt. 2025 | Bitcoin Core 30.0 erscheint mit dem Fix |
14. Okt. 2025 | Bitcoin Core 29.2 erscheint mit dem Fix |
17. Okt. 2025 | Bitcoin Core 28.3 erscheint mit dem Fix |
27. Okt. 2026 | Letzte verwundbare Version (29.x) erreicht End of Life |
10. Nov. 2026 | Öffentliche Offenlegung |
Offenlegungsrichtlinie
Nach der Security Policy von Bitcoin Core werden Schwachstellen mit mittlerem und hohem Schweregrad zwei Wochen offengelegt, nachdem die letzte betroffene Version das End of Life erreicht hat. Das ist etwa ein Jahr nach dem ersten Release der Hauptversion, die den Fix enthält.
Zwei Wochen vorher folgt eine Vorabankündigung, die mit einem neuen Major Release zusammenfällt und die Zahl der behobenen Schwachstellen samt Schweregrad nennt. Wenn du noch einen Node mit 28.0-28.2 oder 29.0-29.1 betreibst, bist du betroffen. Die neuesten Wartungsversionen, 29.5 und 30.4, erschienen am 28. Oktober 2026.