BTCPay Server a publié la version 2.4.7, une mise à jour axée sur la sécurité qui corrige 85 failles et renforce la protection des entreprises acceptant les paiements en Bitcoin. Cette mise à jour, publiée le 29 octobre, cible des faiblesses affectant le traitement des paiements, l'authentification et la sécurité des comptes marchands.

Cette version intervient à un moment sensible pour l'infrastructure de paiement en cryptomonnaies auto-hébergée. Le 2 novembre, l'équipe de BTCPay Server a par ailleurs confirmé que des Bitcoin et des Litecoin avaient été volés à des marchands utilisant des installations obsolètes, ce qui accroît l'urgence pour les opérateurs de vérifier leurs systèmes.

85 failles corrigées dans le cadre du programme OSS Scanner d'Anthropic

Selon les notes de version officielles du projet, la version 2.4.7 corrige 85 failles identifiées via le programme OSS Scanner d'Anthropic. Le décompte comprend une vulnérabilité critique, 13 problèmes de sévérité haute, 52 failles de sévérité moyenne et 19 problèmes de sévérité faible.

Les correctifs couvrent plusieurs composants essentiels de la plateforme de paiement. Les développeurs ont renforcé les restrictions de paiement, les contrôles d'accès aux factures, l'authentification à deux facteurs et les permissions API afin de réduire le risque d'activité non autorisée. La mise à jour a également corrigé des faiblesses dans les formulaires de paiement et l'isolation des comptes marchands — des changements présentés comme particulièrement importants pour les fournisseurs hébergeant plusieurs entreprises sur une infrastructure partagée.

BTCPay Server a appelé les administrateurs à appliquer la mise à jour rapidement, en particulier lorsque plusieurs marchands partagent une même installation.

Divulgations de vols impliquant des installations obsolètes

Cette mise à jour de sécurité a pris une ampleur supplémentaire après que BTCPay Server a divulgué des vols de cryptomonnaies liés à d'anciennes versions du logiciel. Dans une divulgation d'incident publiée sur le blog officiel du projet, les développeurs ont confirmé le 2 novembre que des attaquants avaient ciblé des installations exécutant la version 2.4.1 ou antérieure. Les attaques ont exploité une vulnérabilité déjà corrigée dans la version 2.4.2, publiée en août. La faille exploitée se situe donc hors du périmètre des 85 failles identifiées par le scanner et corrigées dans la version 2.4.7, ce qui distingue les deux démarches de sécurité.

L'équipe n'a constaté aucun impact sur les serveurs exécutant déjà la version 2.4.2 ou ultérieure au moment de l'alerte du 1er novembre.

Toutefois, le projet a averti que la mise à jour d'une installation compromise peut ne pas suffire à éliminer un accès non autorisé existant. Les opérateurs des systèmes concernés doivent migrer vers de nouveaux serveurs, remplacer les identifiants potentiellement exposés et créer de nouveaux portefeuilles. L'avis d'incident du projet demeure le point de référence pour les opérateurs souhaitant déterminer si leurs installations relèvent de la plage affectée divulguée par l'équipe.

La charge de sécurité repose sur les opérateurs auto-hébergés

BTCPay Server permet aux entreprises d'accepter les paiements en cryptomonnaies sans recourir aux processeurs de paiement traditionnels. Cette indépendance place toutefois la maintenance logicielle et la sécurité de l'infrastructure directement entre les mains des marchands. Pour les entreprises traitant des transactions clients, des mises à jour tardives peuvent exposer des informations sensibles et accroître le risque financier.

Il est conseillé aux administrateurs de conserver des sauvegardes fiables, de surveiller toute activité suspecte et de limiter les fonds détenus dans des portefeuilles connectés à Internet.

Ces développements illustrent un défi plus large auquel est confrontée l'infrastructure de paiement en cryptomonnaies : à mesure que l'adoption des actifs numériques s'étend, une maintenance de sécurité rigoureuse reste indispensable pour protéger les fonds des marchands et préserver la confiance des clients.

Source principale : Avis d'incident de sécurité de BTCPay Server (versions 2.4.1 et antérieures)