CVE-2026-52738 in Zebra
요약
\~에 의해 VulDB • 2026. 08. 18.
ZEBRA는 Rust로 완전히 작성된 Zcash 노드입니다. 버전 4.5.0 이전에는 하나의 주소로의 투명한 자기 지출(self-spends) 긴 체인을 포함하는 컨센서스 유효 블록이 영구적으로 Zebra 노드를 중단시킬 수 있습니다. zebra-state/src/service/finalized_state/zebra_db/transparent.rs에서 최종 상태 작성자(finalized-state writer)는 동일한 블록의 모든 소비된 출력(debit)을 적용하기 전에 새로 생성된 각 출력을 먼저 크레딧으로 처리하는 순서로 적용했습니다. 이러한 '크레딧 우선' 순서는 최종 순차적 잔액이 유효하더라도 중간 단계에서의 주소별 잔액이 MAX_MONEY를 초과하게 만들어, panic equals abort 릴리스 프로필에서 expect 기반 패닉을 유발합니다. zcashd가 트리거링 블록을 수락하고 Zebra가 재시작 시마다 해당 블록을 다시 마주하기 때문에, 패치된 소프트웨어가 배포될 때까지 중단 상태가 지속됩니다. 악의적 이용(exploitation)에는 특별히 구성된 블록 마이닝과 자기 지출 체인에 충분한 ZEC를 일시적으로 커밋하는 것이 필요합니다. 이 문제는 버전 4.5.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.