Plateforme
rust
Composant
zebrad
Corrigé dans
4.3.1
5.0.2
4.3.0
La vulnérabilité CVE-2026-34377 concerne une erreur logique dans le cache de vérification des transactions du logiciel Zebra. Cette faille permet à un attaquant d'induire une division de consensus en fournissant des données d'autorisation invalides pour une transaction valide, ce qui pourrait entraîner une divergence entre les nœuds Zebra vulnérables et le reste du réseau Zcash. Cette vulnérabilité affecte les versions de Zebra inférieures ou égales à 4.3.0 et une correction est disponible dans la version 4.3.0.
La vulnérabilité CVE-2026-34377 dans Zebra affecte la vérification des transactions via son cache de vérification. Un mineur malveillant peut exploiter une erreur logique en fournissant des données d'autorisation invalides qui correspondent au txid d'une transaction valide. Cela pourrait inciter les nœuds Zebra vulnérables à accepter un bloc invalide, entraînant une division de consensus avec le reste du réseau Zcash. Il est important de noter que cette vulnérabilité n'autorise pas l'acceptation de transactions invalides en soi, mais manipule le processus de validation du bloc.
Pour exploiter cette vulnérabilité, un attaquant devrait contrôler un nœud Zebra vulnérable et être capable de générer des blocs qui incluent des transactions avec des txid valides, mais des données d'autorisation incorrectes. La complexité réside dans la création de ces blocs malveillants et dans l'influence de la blockchain pour que le nœud vulnérable accepte le bloc incorrect. Le succès de l'exploitation dépend de la synchronisation et de la capacité de l'attaquant à surmonter les mécanismes de consensus du réseau Zcash.
Zcash node operators running Zebra are at risk, particularly those using older, unpatched versions. This includes individuals and organizations participating in the Zcash network who rely on Zebra for transaction validation and block propagation. Those with limited resources or delayed upgrade cycles are especially vulnerable.
• linux / server:
journalctl -u zebra | grep -i "consensus split"• generic web:
curl -s https://<zebra_node_ip>/ | grep -i "Zebra version"disclosure
Statut de l'Exploit
EPSS
0.02% (percentile 5%)
CISA SSVC
La solution à cette vulnérabilité est de mettre à niveau vers la version 4.3.0 ou supérieure de Zebra. Cette version corrige l'erreur logique dans le traitement des données d'autorisation au sein du cache de vérification des transactions. Tous les opérateurs de nœuds Zebra sont fortement encouragés à appliquer cette mise à jour dès que possible afin d'atténuer le risque d'une division de consensus. Surveiller les journaux de Zebra après la mise à jour est une bonne pratique pour s'assurer que la correction a été appliquée correctement.
Actualice a la versión 4.3.0 de zebrad o a la versión 5.0.1 de zebra-consensus para corregir la vulnerabilidad. Esto evitará una posible división de consenso debido a la verificación incorrecta de transacciones V5. La actualización asegura que su nodo Zebra rechace bloques inválidos y mantenga la consistencia con la red Zcash.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Non. La vulnérabilité n'autorise pas la création de Zcash faux ou l'acceptation de transactions invalides. Elle n'autorise qu'à créer un bloc invalide qui pourrait provoquer une division de consensus.
Si vous ne pouvez pas mettre à niveau immédiatement, surveillez de près les journaux de votre nœud Zebra et restez informé des annonces de la communauté Zcash.
Vérifiez la version de votre nœud Zebra en exécutant la commande zebra-cli status. Si la version est inférieure à 4.3.0, votre nœud est vulnérable.
Actuellement, il n'existe pas d'outils spécifiques pour détecter cette exploitation. La surveillance des journaux de Zebra et la comparaison avec d'autres nœuds du réseau peuvent aider à identifier des comportements anormaux.
Une division de consensus se produit lorsque différents nœuds d'un réseau blockchain ont des versions différentes de la blockchain, ce qui peut entraîner la création de deux chaînes distinctes.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier Cargo.lock et nous te dirons instantanément si tu es affecté.