CVE-2026-52731
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
ZEBRA to węzeł Zcash napisany w języku Rust. Przed wersją 4.5.0 atakujący z uwierzytelnieniem do włączonego punktu końcowego RPC może spowodować zakończenie działania zebrad, dostarczając getblocktemplate LongPollId zawierający wielobajtowe znaki UTF-8. Błąd prowadzi do paniki Rust, a wersje produkcyjne używają panic=abort, co kończy cały proces.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego zatrzymania węzła przez uwierzytelnionego atakującego, co może prowadzić do przerwania działania usługi.
Rekomendacja
Zaleca się aktualizację ZEBRA do wersji 4.5.0 lub nowszej, która zawiera poprawkę sprawdzającą granice znaków przed cięciem.
Oryginalny opis (angielski, źródło NVD)
ZEBRA is a Zcash node written entirely in Rust. Prior to 4.5.0, an attacker authenticated to an enabled Zebra RPC endpoint can terminate zebrad by supplying a getblocktemplate LongPollId containing multi-byte UTF-8 characters. In zebra-rpc/src/methods/types/long_poll.rs, LongPollId::from_str originally checked the input byte length and then sliced fixed byte ranges to parse encoded fields. A slice boundary can land inside a multi-byte character and trigger Rust's byte index is not a char boundary panic. Zebra release builds use panic equals abort, so one malformed authenticated RPC request terminates the entire node process and can be repeated after restart. This issue is fixed in version 4.5.0.