CVE-2026-52829 in Zebra
Riassunto
di VulDB • 19/08/2026
ZEBRA è un nodo Zcash scritto interamente in Rust. Prima della versione 4.5.0, un peer IPv4 non autenticato può terminare deterministicamente un nodo Zebra sincronizzato utilizzando la configurazione predefinita del listener dual-stack di Linux. Il percorso dell'handshake canonizzava un PeerSocketAddr IPv6 mappato su IPv4 (ad esempio ::ffff:127.0.0.1) in un indirizzo IPv4 puro prima di memorizzarlo tramite MetaAddr::new_connected, ma il percorso relativo al comportamento errato del mempool inoltrava l'indirizzo transitorio grezzo a MetaAddrChange::UpdateMisbehavior. In zebra-network/src/meta_addr.rs, apply_to_meta_addr confronta quindi la voce canonica dell'address book con l'indirizzo di aggiornamento grezzo e raggiunge un'affermazione (assertion) imprevista relativa alla mancata corrispondenza degli indirizzi. Dopo il flush batch del comportamento errato, panic equals abort termina zebrad; al peer era sufficiente completare un handshake P2P e pubblicare una transazione mempool non valida. Questo problema è risolto nella versione 4.5.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.