CVE-2026-52737 in Zebra
요약
\~에 의해 VulDB • 2026. 08. 18.
ZEBRA는 Rust로 완전히 작성된 Zcash 노드입니다. 버전 4.5.0 이전에는 인증되지 않은 악의적인 P2P 피어가 Zebra의 아웃바운드 getblocks 또는 FindBlocks 요청에 대해 작은 두 해시 인벤토리로 응답한 후, 코인베이스 높이가 로컬 체인의 팁보다 훨씬 높은 구문적으로 유효한 블록을 제공하여 공격이 가능했습니다. zebrad/src/components/sync/downloads.rs에서 BlockDownloadVerifyError::AboveLookaheadHeightLimit는 원래 블록 높이와 해시만 포함하고 있었으므로 handle_block_response 함수가 실패 원인을 광고 피어에 귀속시킬 수 없었습니다. 이 오류는 다시 시작이 필요한 기본 경로(zebrad/src/components/sync.rs)로 전달되어 정직한 피어들로부터 진행 중이던 모든 다운로드를 취소하고 메인넷에서 67초간의 동기화 재시작 지연을 유발했습니다. 해당 피어는 점수가 매겨지거나 연결 해제되지 않았으므로, 최소한의 대역폭으로 이 사이클을 무한히 반복할 수 있으며 상태를 손상시키지 않고도 동기화를 크게 저하시킬 수 있습니다. 이 문제는 버전 4.5.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.