CVE-2026-52734 in Zebra
Resumen
por VulDB • 2026-08-18
ZEBRA es un nodo de Zcash escrito completamente en Rust. Antes de la versión 4.5.0, un par P2P no autenticado podía provocar que el pipeline de descarga del mempool retuviera transacciones después de que la verificación alcanzara el tiempo de espera RATE_LIMIT_DELAY externo. En zebrad/src/components/mempool/downloads.rs, Downloads::poll_next eliminaba las entradas cancel_handles tras los éxitos y errores de verificación ordinarios, pero tokio::time::error::Elapsed no transportaba el UnminedTxId necesario para eliminar la entrada con tiempo de espera agotado. Cada entrada cancel_handles retenida podía contener un Gossip::Tx(UnminedTx) completo, mientras que la limpieza normal de transacciones minadas no podía coincidir con las transacciones del atacante y no existía ninguna recolección periódica de basura ni límite de conteo. El tráfico sostenido provocaba por lo tanto un crecimiento monótono de la memoria hasta que la presión del swap degradara el nodo o el sistema operativo terminara el proceso zebrad por agotamiento de memoria. Este problema está corregido en la versión 4.5.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.