BTCPay Server 2.4.7 corregge 85 vulnerabilità dopo una revisione di sicurezza approfondita
Punti chiave
- •BTCPay Server versione 2.4.7, pubblicata il 29 ottobre, risolve 85 vulnerabilità individuate tramite il programma OSS Scanner di Anthropic, tra cui una critica, 13 ad alta gravità, 52 a media gravità e 19 a bassa gravità.
- •L'aggiornamento rafforza le restrizioni sui pagamenti in uscita, i controlli di accesso alle fatture, l'autenticazione a due fattori, i permessi API, i moduli di checkout e l'isolamento degli account dei commercianti, con modifiche descritte come particolarmente rilevanti per i fornitori che ospitano più attività su infrastrutture condivise.
- •Il 2 novembre il progetto ha confermato che attaccanti hanno rubato Bitcoin e Litecoin da commercianti che utilizzavano la versione 2.4.1 o precedenti, sfruttando una vulnerabilità già corretta nella versione 2.4.2 rilasciata in agosto.
- •La vulnerabilità sfruttata rientra al di fuori dell'ambito delle 85 vulnerabilità individuate dallo scanner, e il team ha riferito di non aver riscontrato impatti sui server con versione 2.4.2 o successive al momento dell'avviso del 1° novembre.
- •Gli operatori di installazioni potenzialmente compromesse sono invitati a migrare verso nuovi server, sostituire le credenziali esposte, creare nuovi wallet e limitare i fondi custoditi in wallet connessi a Internet.
BTCPay Server ha rilasciato la versione 2.4.7, un aggiornamento incentrato sulla sicurezza che risolve 85 vulnerabilità e rafforza le protezioni per le aziende che accettano pagamenti in Bitcoin. L'aggiornamento, pubblicato il 29 ottobre, interviene su debolezze che riguardano l'elaborazione dei pagamenti, l'autenticazione e la sicurezza degli account dei commercianti.
Il rilascio arriva in un momento delicato per l'infrastruttura di pagamento in criptovalute self-hosted. Il 2 novembre, il team di BTCPay Server ha inoltre confermato che Bitcoin e Litecoin erano stati rubati da commercianti che utilizzavano installazioni non aggiornate, aumentando l'urgenza per gli operatori di verificare i propri sistemi.
85 vulnerabilità risolte tramite il programma OSS Scanner di Anthropic
Secondo le note di rilascio ufficiali del progetto, la versione 2.4.7 risolve 85 vulnerabilità individuate tramite il programma OSS Scanner di Anthropic. Il quadro comprende una vulnerabilità critica, 13 problemi ad alta gravità, 52 a media gravità e 19 a bassa gravità.
Le correzioni interessano diversi componenti fondamentali della piattaforma di pagamento. Gli sviluppatori hanno rafforzato le restrizioni sui pagamenti in uscita, i controlli di accesso alle fatture, l'autenticazione a due fattori e i permessi API per ridurre il rischio di attività non autorizzate. L'aggiornamento ha inoltre risolto debolezze nei moduli di checkout e nell'isolamento degli account dei commercianti — modifiche descritte come particolarmente rilevanti per i fornitori che ospitano più attività su infrastrutture condivise.
BTCPay Server ha esortato gli amministratori ad applicare tempestivamente l'aggiornamento, soprattutto quando più commercianti condividono la stessa installazione.
Comunicazioni di furti legati a installazioni non aggiornate
Il rilascio di sicurezza ha assunto un peso maggiore dopo che BTCPay Server ha comunicato furti di criptovalute legati a versioni precedenti del software. In una comunicazione sull'incidente pubblicata sul blog ufficiale del progetto, gli sviluppatori hanno confermato il 2 novembre che gli attaccanti avevano preso di mira installazioni con versione 2.4.1 o precedenti. Gli attacchi sfruttavano una vulnerabilità già corretta nella versione 2.4.2, rilasciata in agosto. Ciò colloca la vulnerabilità sfruttata al di fuori dell'ambito delle 85 vulnerabilità individuate dallo scanner e risolte nella versione 2.4.7, distinguendo le due iniziative di sicurezza.
Il team ha riferito di non aver riscontrato alcun impatto sui server che già utilizzavano la versione 2.4.2 o successive al momento della diffusione dell'avviso del 1° novembre.
Tuttavia, il progetto ha avvertito che l'aggiornamento di un'installazione compromessa potrebbe non eliminare eventuali accessi non autorizzati già in corso. Gli operatori dei sistemi coinvolti dovrebbero migrare verso nuovi server, sostituire le credenziali potenzialmente esposte e creare nuovi wallet. La comunicazione sull'incidente del progetto resta il punto di riferimento per gli operatori che devono determinare se le proprie installazioni rientrino nell'intervallo di versioni interessate indicato dal team.
L'onere della sicurezza ricade sugli operatori self-hosted
BTCPay Server consente alle aziende di accettare pagamenti in criptovalute senza dipendere dai circuiti di pagamento tradizionali. Questa indipendenza, tuttavia, pone la manutenzione del software e la sicurezza dell'infrastruttura direttamente in mano ai commercianti. Per le aziende che gestiscono transazioni dei clienti, aggiornamenti ritardati possono esporre informazioni sensibili e aumentare il rischio finanziario.
Si consiglia agli amministratori di mantenere backup affidabili, monitorare attività sospette e limitare i fondi custoditi in wallet connessi a Internet.
Questi sviluppi evidenziano una sfida più ampia per l'infrastruttura di pagamento in criptovalute: man mano che l'adozione degli asset digitali si espande, una manutenzione della sicurezza costante resta essenziale per proteggere i fondi dei commercianti e preservare la fiducia dei clienti.
Fonte principale: Comunicazione sull'incidente di sicurezza di BTCPay Server (versioni 2.4.1 e precedenti)
