CVE-2026-44714 Evasión de verificación en ScriptExecution de bitcoinj

Qué es CVE-2026-44714

En versiones anteriores a 0.17.1, ScriptExecution.correctlySpends() tiene dos fallas en las rutas rápidas de verificación para gastos P2PKH y P2WPKH nativos: verifica un par firma/clave pública controlado por el atacante pero no comprueba que esa clave sea la comprometida por la salida gastada. Cualquier par de claves del atacante satisface la verificación local para salidas P2PKH y P2WPKH arbitrarias. Corregido en 0.17.1.

Productos y versiones afectadas

• bitcoinj

  • < 0.17.1

Qué hacer

1. Verificá si usás bitcoinj y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dntaskmehow/BABEF ↗This framework has been RE-WEAPONIZED & exploits CVE-2026-44714, a critical signature verification flaw in the bitcoinj library (Java implementation of the Bitcoin protocol). Unpatched applications are vulnerable to…PUBLICADO 21 OCT · 04:42

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The bitcoinj library is a Java implementation of the Bitcoin protocol. Prior to 0.17.1, ScriptExecution.correctlySpends() contains two fast-path verification bugs for standard P2PKH and native P2WPKH spends in core/src/main/java/org/bitcoinj/script/ScriptExecution.java. In both branches, bitcoinj verifies an attacker-controlled signature/public-key pair but fails to verify that the public key is the one committed to by the output being spent. As a result, any attacker keypair can satisfy bitcoinj's local verification for arbitrary P2PKH and P2WPKH outputs. This vulnerability is fixed in 0.17.1.

Referencias

• github.com/bitcoinj/bitcoinj/security/advisories/GHSA-hfcf-v2f8-x9pcX_REFSOURCE_CONFIRM
• github.com/bitcoinj/bitcoinj/commit/2bc5653c41d260d840692bc554690d4d79208f9cX_REFSOURCE_MISC
• github.com/bitcoinj/bitcoinj/commit/b575a682acf614b9ff95cacbdeb48f86c3ababe0X_REFSOURCE_MISC

Historial de la alerta

1. 21 OCT · 04:42EXPLOIT PÚBLICO Se publicó el repositorio dntaskmehow/BABEF.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.