85 güvenlik bulgusu giderildi: BTCPay Server 2.4.7 yayımlandı

BTCPay Server, 29 Ekim'de yayımladığı 2.4.7 sürümünde güvenlik incelemesinde saptanan 85 bulguyu giderdi. Düzeltmeler arasında ödeme işlemleri, muhasebe verileri ve mağaza bazlı yetkilerle ilgili sorunlar yer aldı.

Proje, sürüm notlarında bulguları tarayıcı raporundaki özgün önem derecelerine göre 1 kritik, 13 yüksek, 52 orta ve 19 düşük olarak sınıflandırdı. Birden fazla mağazanın ortak kullandığı sunucuları yönetenlere güncelleme yapmaları tavsiye edildi.

Düzeltmeler; iptal edilen bir ödemeyi yeniden açarak limitleri aşma, başka mağazaların ödeme formuna veya fatura bilgilerine erişme ve eşzamanlı oturum açma istekleriyle iki aşamalı doğrulama deneme sınırını aşma gibi sorunları kapsadı.

Ödeme durumu güncellenirken aynı işlemin tekrar tekrar yayılması ve ödeme raporlarının gereğinden fazla veri işlemesi sorunları da giderildi. Sürüm notlarında, ödeme işlemleriyle muhasebe verilerindeki hataları önlemeye yönelik düzeltmeler de yer aldı.

Anthropic, OSS Scanner deposunda raporların bir model tarafından oluşturulduğunu ve insan incelemesinden geçmediğini belirtiyor. BTCPay Server'ın sürüm notlarında bu bulguların gerçek saldırılarda kullanıldığı söylenmiyor. Dolayısıyla 85 sayısı, tarayıcının bildirdiği bulgu sayısını ifade ediyor; gerçek saldırı veya mağdur sayısını değil.

BTCPay Server, işletmelerin bir ödeme aracısına ihtiyaç duymadan Bitcoin(BTC) ödemesi almasını sağlayan açık kaynaklı bir yazılım. Resmî kullanım kılavuzuna göre ödeme tutarı doğrudan işletmenin kontrolündeki cüzdana aktarılıyor.

Ödeme almak için sunucuda özel anahtar tutmak gerekmiyor. Ancak harcama anahtarı sunucuda bulunan bir sıcak cüzdan kullanıldığında, sunucuya erişim yetkisi fonları taşıma yetkisiyle bağlantılı hâle gelebiliyor.

Sunucuyu kendi işletenler kurulum, güncelleme ve yedeklemeyi de yönetmek zorunda. Harici barındırma kullanan mağazalar sunucu düzeyindeki işleri hizmet sağlayıcıya bırakıyor. Bu nedenle yamaları uygulama sorumlusu, işletim biçimine göre değişiyor.

Bu düzeltmelerden ayrı olarak BTCPay Server projesi, 2 Kasım'daki olay duyurusunda Bitcoin ve Litecoin(LTC) hırsızlığına ilişkin bildirimler aldığını ve saldırının 2.4.1 ve önceki sürümleri kullanan sunucuları hedef aldığını açıkladı. 2.4.1 sürümü 23 Temmuz'da yayımlanmıştı. Proje, saldırganın 7 Ağustos'ta yayımlanan 2.4.2 sürümünde giderilen bir açığı farklı bir yöntemle istismar ettiğini belirtti.

Olayla ilgili olarak, hırsızlık bildiriminin ardından operatörlerden sunucularını kapatmalarının istendiği daha önce bildirilmişti. Proje, X üzerinden operatörlerden inceleme sürerken sunucularını durdurmalarını istedi. LunaNode gibi barındırma sağlayıcıları da önlem amacıyla bazı sunucuları çevrimdışına aldığını duyurdu.

Blockchain analiz şirketi Bitquery, 30 Ekim ile 2 Kasım arasında hırsızlıkla ilişkilendirilen adreslerdeki 682 işlemi izledi. Analizinde 18,38 Bitcoin ve 3.405 Litecoin tespit eden şirket, toplam değeri 1.628.450 dolar (yaklaşık 2,19 milyar Güney Kore wonu) olarak hesapladı.

Bu sayı işlem adedini gösteriyor; sunucu veya mağdur sayısını değil. Bitquery, başka adres ve varlıkları hesaba katmadığını belirtti. BTCPay Server ise paylaşılan adreslerde olay öncesine ait işlemlerin de bulunuyor göründüğünü, bu nedenle işlem geçmişinin veya bakiyelerin tamamının doğrulanmış zarar olarak kabul edilemeyeceğini söyledi.

Proje, 1 Kasım tarihli uyarısında 2.4.2 veya üzeri sürümleri kullanan sunucularda bu saldırıdan etkilenen bir örneği doğrulamadığını açıkladı. Bu, yalnızca söz konusu olaya ilişkin incelemenin sonucuydu.

Proje, 2.4.1 veya daha eski sürümleri çalıştıran ya da yetkisiz erişim izi bulunan sunucularda yalnızca güncelleme yapmanın daha önce açığa çıkmış erişim yetkilerini ortadan kaldırmayacağı uyarısında bulundu. Operatörlere kalan sıcak cüzdan fonlarını yeni bir cüzdana aktarmalarını, yeni bir sunucu kurmalarını ve eski sunucunun erişebildiği kimlik bilgilerini değiştirmelerini önerdi.