CVE-2026-52736

Nome do Software Vulnerável e Versões Afetadas ZEBRA versões anteriores a 4.5.0

Descrição Um peer P2P remoto não autenticado pode travar um nó Zcash ao competir um corpo de bloco inválido contra um corpo canônico válido para o mesmo hash de cabeçalho de bloco. Isso é possível porque o ZIP-244 permite que um invasor altere os dados de autenticação scriptSig do coinbase, mantendo os mesmos identificadores de transação, raiz de Merkle e hash de cabeçalho de bloco. Na função queue and commit to non finalized state em zebra-state/src/service.rs, o nó registra o hash em non finalized block write sent hashes antes que a validação contextual seja concluída. Se o corpo envenenado for rejeitado, o hash não é removido do cache. Quando o corpo honesto chega posteriormente, o nó identifica o hash em cache como um duplicado via KnownBlock::WriteChannel e o suprime, deixando o nó travado em uma altura de bloco específica até que ocorra a reinicialização ou reorganização.

Recomendações Atualize o ZEBRA para a versão 4.5.0 ou posterior. Como mitigação temporária, reinicie o nó para limpar o cache de hash enviado em memória e permitir que o bloco válido seja recuperado novamente.