Conradoplg

**اسم البرنامج المتأثر والإصدارات المتأثرة** Zebra الإصدارات من 2.3.0 إلى 6.3.x **الوصف** يوجد خلل في آلية الحماية يسمح للأطراف غير المصرح لها بالتهرب من الحظر. يحدث هذا لأن عمليات الحظر ودرجات سوء السلوك تعتمد على عناوين IP الدقيقة. يمكن للمهاجمين تجاوز هذه القيود عن طريق إعادة الاتصال باستخدام عناوين IPv6 جديدة ضمن تخصيص /64 الخاص بهم أو عن طريق تفريغ قائمة الحظر FIFO (التي تخرج منها البيانات بنفس ترتيب دخولها) المكونة من 20,000 إدخال لاستعادة الوصول للأطراف المحظورة. **التوصيات** تحديث Zebra إلى الإصدار 6.4.0 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** ZcashFoundation Zebra الإصدارات من 6.4.0 إلى 6.4.1 **الوصف** يقوم البرنامج بتحليل معاملات الإصدار 6 التي تحمل معرف فرع إجماع ما قبل NU6.3 بشكل غير صحيح. أثناء بناء `UnminedTx` ، يفترض حساب الحجم أن إعادة تسلسل حزمة Orchard ستكون ناجحة دائمًا. عندما يحدث خطأ أثناء هذه العملية، يؤدي ذلك إلى تفعيل شرط expect يتسبب في إيقاف عملية `zebrad`. يسمح هذا للأطراف غير المصرح لهم بتعطيل العقدة عن طريق إرسال رسالة معاملة واحدة قبل المصافحة (pre-handshake)، ويمكن تكرار ذلك بعد كل إعادة تشغيل للعقدة. **التوصيات** تحديث ZcashFoundation Zebra إلى الإصدار 6.4.2.

**اسم البرنامج المصاب والإصدارات المتأثرة** Zebra الإصدارات السابقة لـ 6.4.0 **Description** تسمح مشكلة استهلاك الموارد غير المنضبط للأقران غير المصرح لهم بفرض التحقق الكامل من الإثبات من خلال تقديم أجسام كتل مزورة تحتوي على هاشات ترويسة صالحة. ومن خلال تغيير بايتات التفويض فقط، مثل `coinbase scriptSig` ، يمكن للمهاجمين إهدار عمليات التحقق من إثباتات Sapling و Orchard و Ironwood دون أي عقوبة، مما يؤدي إلى توقف المزامنة لمدة 67 ثانية. **Recommendations** التحديث إلى الإصدار 6.4.0 أو أحدث.

**اسم البرنامج المتأثر والإصدارات المتأثرة** Zebra الإصدارات السابقة لـ 6.4.0 **Description** توجد مشكلة في التحقق من السلامة في مسار تنزيل Gossip الوارد. يسمح هذا للأقران غير المصرح لهم بفرض إسقاط الكتل الجديدة دون عقوبة. يمكن للمهاجم تحقيق ذلك من خلال تقديم كتلة حقيقية مع إعادة كتابة `scriptSig` الخاص بـ coinbase إلى الارتفاع 1، مما يحافظ على هاش الكتلة ZIP-244. يؤدي هذا الإجراء إلى إطلاق عملية إسقاط خلف الطرف (behind-tip drop) قبل التحقق من الإجماع، مما يؤدي إلى تأخير اكتشاف الطرف لخلفيات التعدين. **Recommendations** تحديث Zebra إلى الإصدار 6.4.0 أو أحدث.

**Name of the Vulnerable Software and Affected Versions** Zebra versions prior to 6.0.0 **Description** A denial of service issue allows unauthenticated peers to stall Tokio workers by submitting mempool transactions that require expensive synchronous script verification. Attackers can send non-standard high-sigop P2SH transactions that reach the `is valid()` function within `CachedFfiTransaction` before standardness checks are performed. This process saturates the verifier buffer, rendering the node unresponsive. **Recommendations** Update Zebra to version 6.0.0 or later.

**Name of the Vulnerable Software and Affected Versions** Zebra (zebrad) versions prior to 6.2.1 **Description** An asymmetric resource consumption issue allows unauthenticated peers to stall block verification. This occurs when attackers flood the shared unprioritized Halo2 verification queue with zero-fee V6 mempool transactions containing zero-filled Orchard and Ironwood proofs. Halo2 is a proof system used for verifying transactions without revealing private data. This activity causes nodes to fall behind the chain tip. **Recommendations** Update Zebra (zebrad) to version 6.2.1 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Zebra الأقدم من 4.3.0 إصدارات zebra-consensus الأقدم من 5.0.1 **الوصف** يوجد عيب في ذاكرة التخزين المؤقتة للتحقق من المعاملات في Zebra قد يسمح لمُعدِّن خبيث بإحداث انقسام في التوافق. من خلال مطابقة `txid` لمعاملة صالحة مع تقديم بيانات تفويض غير صالحة، يمكن للمُعدِّن أن يتسبب في قيام العقد المعرضة للخطر في Zebra بقبول كتلة غير صالحة، مما يؤدي إلى انقسام في التوافق عن بقية شبكة Zcash. تنبع هذه المشكلة من خطأ منطقي في دالة `find verified unmined tx` الموجودة في ملف `transaction.rs`، حيث استخدمت آلية البحث `txid` كمفتاح فريد، مستبعدةً جذر بيانات التفويض (Authorization Data Root) للمعاملات من الإصدار V5. وقد تسبب هذا في تخطي Zebra لاستدعاء الدالة الأساسية `check v5 auth()`، بافتراض خاطئ أن المعاملة قد تم التحقق منها بالفعل. تؤثر هذه الثغرة الأمنية على عقد Zebra التي تستخدم تحسين ذاكرة التخزين المؤقت للتحقق من المعاملات الخاصة بمعاملات V5. **التوصيات** الترقية إلى إصدار Zebra 4.3.0 أو أحدث. الترقية إلى إصدار zebra-consensus 5.0.1 أو أحدث.