CVE-2026-52737 in Zebra
Resumen
por VulDB • 2026-08-18
ZEBRA es un nodo de Zcash escrito completamente en Rust. Antes de la versión 4.5.0, un par P2P malicioso no autenticado puede responder a las solicitudes salientes `getblocks` o `FindBlocks` de Zebra con un inventario pequeño de dos hashes y luego servir un bloque sintácticamente válido cuya altura coinbase está muy por encima del punto máximo (tip) de la cadena local. En zebrad/src/components/sync/downloads.rs, el error BlockDownloadVerifyError::AboveLookaheadHeightLimit originalmente solo contenía la altura del bloque y su hash, por lo que handle_block_response no podía atribuir el fallo al par anunciante. El error alcanzaba entonces la ruta predeterminada digna de reinicio en zebrad/src/components/sync.rs, cancelando todas las descargas en curso procedentes de pares honestos e imponiendo un retraso de 67 segundos para el reinicio de la sincronización en mainnet. Dado que al par no se le restaba puntuación ni se desconectaba, este podía repetir el ciclo indefinidamente con un consumo mínimo de ancho de banda y degradar significativamente la sincronización sin corromper el estado. Este problema está corregido en la versión 4.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.