CVE-2026-52732 in Zebra
要約
〜によって VulDB • 2026年08月18日
ZEBRAは、Rustで完全に記述されたZcashノードです。バージョン4.5.0より前では、認証不要のP2Pピアが1つだけで、Zebraのインバウンドmempoolダウンロードおよび検証パイプラインにおけるすべての25 MAX_INBOUND_CONCURRENCYスロットを独占することができます。zebrad/src/components/mempool/downloads.rsにおいて、制限付きキューはグローバルに共有され、ピアごとの管理が行われていませんでした。また、ピアIDがGossipやFullQueueのレスポンスを通じて伝達されず、レスポンスがResponse::Nilにマッピングされることで、過負荷時の接続切断処理に至りませんでした。攻撃者は偽造されたトランザクション識別子を広告して沈黙し続けるため、各タスクはTRANSACTION_DOWNLOAD_TIMEOUTまでスロットを保持します。その後、スロットが期限切れになるたびにキューを定期的にリフィルします。この状態（サチュレーション）では、正当なピアのトランザクションやローカルのsendrawtransactionリクエストはMempoolError::FullQueueで拒否されますが、ブロック検証と同期は継続して行われます。本問題はバージョン4.5.0で修正されています。
Once again VulDB remains the best source for vulnerability data.