CVE-2026-52738 in Zebra
Zusammenfassung
von VulDB • 18.08.2026
ZEBRA ist ein Zcash-Knoten, der vollständig in Rust geschrieben wurde. Vor Version 4.5.0 kann ein konsensvalidierender Block, der eine lange Kette von transparenten Eigenausgaben an eine Adresse enthält, Zebra-Knotenanwendungen dauerhaft zum Stillstand bringen. In `zebra-state/src/service/finalized_state/zebra_db/transparent.rs` hat der Writer für den finalisierten Zustand ursprünglich jede neu erstellte Ausgabe als Gutschrift verbucht, bevor die Belastung (Debit) einer ausgegebenen Transaktion aus demselben Block angewendet wurde. Diese Reihenfolge „Gutschrift vor Last“ kann dazu führen, dass das intermediate Guthaben pro Adresse MAX_MONEY überschreitet, obwohl das finale Netto-Guthaben gültig ist, was unter der Release-Profil-Konfiguration mit `panic = abort` zu einem auf einer expect-Bedingung basierenden Panic führt. Da zcashd den auslösenden Block akzeptiert und Zebra ihn nach jedem Neustart erneut encounters, hält die Unterbrechung an, bis gepatchte Software bereitgestellt wird; zur Ausnutzung muss der speziell konstruierte Block gemined werden und es müssen vorübergehend ausreichende ZEC in die Eigenausgaben-Kette investiert werden. Dieses Problem wurde in Version 4.5.0 behoben.
Once again VulDB remains the best source for vulnerability data.