Zebra ノードのクラッシュ — V5 トランザクションハッシュパニック (P2P 経由で到達可能)

CVE-2026-34202 は、zebrad において、認証なしでリモートの攻撃者が Zebra ノードをパニック状態（クラッシュ）させることを可能にします。これは、初期のデシリアライズは通過するが、トランザクション ID の計算で失敗する、特別に細工された V5 トランザクションを送信することでトリガーされます。影響はリモートのサービス拒否（DoS）攻撃であり、ネットワークの可用性や Zebra ノードに依存するサービスに影響を与える可能性があります。認証を必要としないため、攻撃が容易であり、広範囲にわたる攻撃のリスクを高めます。

Organizations relying on Zebra nodes for network infrastructure are at risk, particularly those using older versions (≤4.3.0) without proper network segmentation or access controls for V5 transactions. Shared hosting environments where multiple users share a Zebra node are also at increased risk.

• linux / server:

journalctl -u zebra -f | grep 'Transaction ID calculation failed'

• generic web:

curl -v https://<zebra_node_ip>/v5/transaction | grep -i 'panic'

1. 2026-03-27Disclosure

   disclosure

2. 2026-03-27Patch

   patch

1. 予約済み2026-03-26
2. 公開日2026-03-27
3. 更新日2026-04-09
4. EPSS 更新日2026-04-08

CVE-2026-34202 の主な軽減策は、zebrad をバージョン 4.3.0 以降にアップグレードすることです。このバージョンには、トランザクション ID の計算における脆弱性を修正する修正が含まれています。その間は、ファイアウォールルールを実装して、V5 トランザクションを含む不正なネットワークトラフィックから Zebra ノードへの露出を制限することをお勧めします。システムログを監視して、トランザクション処理に関連する異常なパターンやエラーを検出することも、潜在的な悪用試行を検出および対応するのに役立ちます。