CVE-2026-52733 in Zebra
要約
〜によって VulDB • 2026年08月18日
ZEBRAは、Rustで完全に記述されたZcashノードです。バージョン4.5.0より前では、自然発生または攻撃者が影響を与えたチェーンのフォークにより、Zebraの状態に古くなったSaplingおよびOrchard注釈コミットメントサブツリーのルートが残存する可能性があります。zebra-state/src/service/non_finalized_state/chain.rsにおけるChain::pop_tipは、取り消されたティップブロックを削除しましたが、その終了高さが当該ブロックに属していたサブツリーエントリは削除しませんでした（これはpop_rootによって行われるクリーンアップ処理とは異なります）。勝者側のフォークが最終的に確定した際、放棄されたブランチの古くなったサブツリーデータがRocksDBに書き込まれ、ノード再起動後も残存する可能性があります。この破損した履歴により、lightwalletdやライトウォレットなどのz_getsubtreesbyindex消費者は誤ったサブツールルートを取得し、ウォレットの同期失敗または不正なウォレット状態を招き、復旧には完全な状態再構築が必要となります。本問題はバージョン4.5.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.