Descripción
bitcoinjs-lib es una biblioteca de Bitcoin en JavaScript para Node.js y navegadores. Desde la versión 2.3.0 hasta antes de 5.2.1, 6.1.8 y 7.0.2, fastMerkleRoot completa los niveles impares del árbol Merkle aplicando hash al nodo final consigo mismo, pero no informa la presencia de hashes duplicados adyacentes. El verificador de raíz de bloque afectado se introdujo como Block.checkMerkleRoot() junto con Block.calculateMerkleRoot(), mientras que versiones posteriores exponen la validación mediante checkTxRoots() y __checkMerkleRoot; estas rutas de validación pueden aceptar una raíz recalculada sin comprobar si hubo mutación. Un par puede agregar transacciones duplicadas de modo que una lista de transacciones diferente conserve la raíz Merkle, el encabezado de bloque, la prueba de trabajo y el identificador de bloque originales. Los consumidores que dependen de la validación de la raíz del bloque, como exploradores, indexadores de exchanges o clientes SPV, pueden procesar dos veces una transacción duplicada o bloquear el hash de bloque compartido y rechazar el bloque legítimo. Este problema se corrigió en las versiones 5.2.1, 6.1.8 y 7.0.2.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- bitcoinjs-lib Afectadas: >= 2.3.0, < 5.2.1 · >= 6.0.0, < 6.1.8 · >= 7.0.0-rc.0, < 7.0.2
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/bitcoinjs/bitcoinjs-lib/security/advisories/GHSA-8vv3-6qpc…
- Referencia en github.comgithub.com/bitcoinjs/bitcoinjs-lib/commit/009f165edfbf925cad8964b2dce…
- Referencia en github.comgithub.com/bitcoinjs/bitcoinjs-lib/commit/b79c7714c0687473dc6e25c69fc…
- Referencia en github.comgithub.com/bitcoinjs/bitcoinjs-lib/commit/f3434d1e4bb5e0784fe769c4cd0…
Ver el texto original en inglés (CVE.org)
bitcoinjs-lib: Undetected merkle node duplication in block root computation validates a forged transaction list
bitcoinjs-lib is a JavaScript Bitcoin library for Node.js and browsers. From 2.3.0 until 5.2.1, 6.1.8, and 7.0.2, fastMerkleRoot pads odd Merkle-tree levels by hashing the final node with itself but does not report adjacent duplicate hashes. The affected block-root verifier was introduced as Block.checkMerkleRoot() alongside Block.calculateMerkleRoot(), while later versions expose validation through checkTxRoots() and __checkMerkleRoot; these validation paths can accept a recomputed root without checking for mutation. A peer can append duplicate transactions so a different transaction list retains the original Merkle root, block header, proof of work, and block identifier. Consumers that rely on block-root validation, including explorers, exchange indexers, or SPV clients, can process a duplicated transaction twice or blacklist the shared block hash and reject the honest block. This issue is fixed in versions 5.2.1, 6.1.8, and 7.0.2.