بی تی سی پی BTCPay Server نرم‌افزار متن‌بازی است که فروشگاه‌ها و کسب‌وکارها برای پذیرش پرداخت بیت‌کوین از آن استفاده می‌کنند. توسعه‌دهندگان آن در ۱۹ اکتبر یک ضعف در کلیدهای API را اصلاح کردند. در این ضعف، کلیدی که قرار بود فقط برای یک فروشگاه کار کند، ممکن بود به امکانات سطح سرور یا حساب کاربری هم دسترسی پیدا کند.

کلید API یعنی چه؟ کلیدی که فروشنده به یک سرویس یا برنامه‌ی دیگر می‌دهد تا بدون رمز عبور، بعضی کارها را به نام او انجام دهد. هر کلید دو محدودیت دارد: چه کارهایی اجازه دارد و روی کدام فروشگاه. خطر اینجا بود که فروشنده، کلید را به یک برنامه‌ی جانبی بدهد و ناخواسته اختیار بیشتری از آنچه می‌خواست واگذار کند.

اصلاحیه چه کرد؟

• نیکولاس دوریه، توسعه‌دهنده‌ی اصلی، تغییر را در شاخه‌ی اصلی پروژه ادغام کرد (PR شماره‌ی ۷۶۸۴).
• کلیدهایی که اجازه‌ی گسترده دارند ولی به یک فروشگاه محدود شده‌اند، دیگر نمی‌توانند شرط‌های دسترسی سطح سرور یا حساب را برآورده کنند. آزمون‌های جدید نشان می‌دهند کلید یک مدیر نباید به نقش‌های سرور برسد و کلید یک کاربر عادی نباید بتواند حساب خود او را حذف کند.
• هنگام ساخت کلید جدید هم بررسی می‌شود که کلید تازه قدرتمندتر از اختیارات سازنده‌اش نباشد.
• کلیدهای مدیریتی بدون محدودیت که از قبل وجود داشتند، رفتار قبلی را حفظ می‌کنند.

چه چیزی هنوز مشخص نیست؟

• این مثال‌ها ثابت نمی‌کنند کلیدی که فقط برای صدور فاکتور ساخته شده می‌تواند قدرت مدیر بگیرد. دسترسی سطح سرور به نقش مدیر بودن صاحب کلید هم بستگی دارد.
• گزارش عمومی از سوءاستفاده‌ی واقعی، فروشگاه‌های آسیب‌دیده یا خسارت چیزی نگفته است.
• معلوم نیست مشکل از کدام نسخه شروع شده است.

وضعیت انتشار: نسخه‌ی ۲.۴.۵ (۶ اکتبر) هنوز بررسی‌های قدیمی را داشت. طبق به‌روزرسانی خبر، نسخه‌ی ۲.۴.۶ حالا منتشر شده است. این را از پیام حساب رسمی @BTCPayLite در ایکس نقل می‌کنند.

توصیه برای فروشندگان: مستندات BTCPay توصیه می‌کند هر کلید فقط کمترین دسترسی لازم را داشته باشد. کلیدهایی را که به برنامه‌های دیگر داده‌اید مرور کنید، دسترسی‌های گسترده را محدود کنید و مطمئن شوید نسخه‌ی نصب‌شده‌تان شامل اصلاحیه است.