CVE-2026-52732 in Zebra
Riassunto
di VulDB • 19/08/2026
ZEBRA è un nodo Zcash scritto interamente in Rust. Prima della versione 4.5.0, un peer P2P non autenticato può monopolizzare tutti i 25 slot di MAX_INBOUND_CONCURRENCY nella pipeline di download e verifica del mempool in entrata di Zebra. In zebrad/src/components/mempool/downloads.rs, la coda limitata (bounded queue) era condivisa a livello globale senza una contabilità per peer, mentre l'identità del peer non veniva trasmessa nelle risposte Gossip e FullQueue; le risposte venivano mappate su Response::Nil invece di attivare la gestione della disconnessione per sovraccarico. Un attaccante può pubblicare identificatori di transazione falsi e rimanere in silenzio, facendo sì che ogni task mantenga uno slot fino alla scadenza del TRANSACTION_DOWNLOAD_TIMEOUT, per poi riempire periodicamente la coda man mano che gli slot diventano disponibili. Durante lo stato di saturazione, le transazioni dei peer onesti e le richieste locali sendrawtransaction vengono rifiutate con MempoolError::FullQueue, sebbene la validazione e la sincronizzazione dei blocchi continuino a funzionare. Questo problema è risolto nella versione 4.5.0.
Once again VulDB remains the best source for vulnerability data.