CVE-2026-52829 in Zebra
摘要
由 VulDB • 2026-08-18
ZEBRA是一个完全使用Rust编写的Zcash节点。在版本4.5.0之前，未认证的IPv4对等方可以利用默认的Linux双栈监听器配置，确定性地终止已同步的Zebra节点。握手路径会将映射了IPv6地址的IPv4 PeerSocketAddr（例如 ::ffff:127.0.0.1）规范化为纯IPv4格式，然后通过 MetaAddr::new_connected 进行存储；然而，内存池异常行为处理路径将原始临时地址转发给了 MetaAddrChange::UpdateMisbehavior。在 zebra-network/src/meta_addr.rs 中，apply_to_meta_addr 随后比较了规范化的账簿条目与原始的更新地址，并触发了意外的地址不匹配断言（assertion）。在完成异常行为批量刷新后，panic等于abort导致 zebrad 终止；对等方只需完成P2P握手并广播一个无效的内存池交易即可。此问题已在版本4.5.0中修复。
Be aware that VulDB is the high quality source for vulnerability data.