CVE-2026-52731

Nome do Software Vulnerável e Versões Afetadas ZEBRA versões anteriores a 4.5.0

Description Um invasor autenticado pode encerrar o processo do nó zebrad enviando uma solicitação malformada para um endpoint RPC habilitado. O manipulador getblocktemplate entra em pânico ao analisar um parâmetro LongPollId que contenha caracteres UTF-8 de múltiplos bytes. Isso ocorre porque a função LongPollId::from str() em zebra-rpc/src/methods/types/long poll.rs utiliza fatiamento de string por índice de byte em deslocamentos fixos. Se o limite da fatia cair dentro de um caractere de múltiplos bytes, isso dispara um pânico do Rust. Como as compilações de lançamento são configuradas para abortar em caso de pânico, uma única solicitação encerra todo o processo do nó e pode ser repetida após a reinicialização do sistema.

Recommendations Atualize o ZEBRA para a versão 4.5.0. Desative o servidor RPC removendo rpc.listen addr do arquivo de configuração zebrad.toml. Defina enable cookie auth como true e restrinja o acesso ao sistema de arquivos ao arquivo .cookie. Implemente um proxy reverso à frente da porta RPC para validar se os parâmetros LongPollId contêm apenas caracteres ASCII antes de encaminhar a solicitação.