Zebra zebrad: Denial of Service durch unbegrenzte V6-Shielded-Proof-Prüfung

Zusammenfassung

Zebra (zebrad) vor 6.2.1 ist eine Implementierung eines Zcash-Full-Nodes. Ein nicht authentifizierter Peer kann V6-Mempool-Transaktionen mit ungültigen Halo2-Proofs senden, deren Prüfung aufwendig ist; dadurch wird die gemeinsame, nicht priorisierte Verifikationswarteschlange belegt und die Blockverifikation verzögert. Bei andauerndem Angriff fällt ein Node mit wenigen CPU-Kernen hinter die Chain-Spitze zurück und erholt sich, sobald die Last endet; ein Absturz, ein Konsensfehler oder ein Verlust von Geldwerten wird nicht beschrieben.

Betroffen

• Zebra (zebrad) Versionen vor 6.2.1 (Herstellerhinweis nennt bis einschliesslich 6.2.0)
• Betroffen, wenn NU6.3 (Ironwood) im Netzwerk aktiv ist
• Standardmässige Peer-to-Peer-Verbindungen sind von jedem Peer erreichbar

Behoben in

• Auf Zebra 6.2.1 oder neuer aktualisieren
• Herstellerseitige Fix-PRs (laut Drittanbieter-Aggregator, nicht verifiziert): #11053 und #11054

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme für ungepatchte Nodes.
• Einschränkung der Peer- und RPC-Erreichbarkeit aus dem Internet reduziert die Angriffsfläche (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, Automatable yes.
• EPSS etwa 0.34%.
• Öffentlicher PoC unklar; der Melder gibt an, dass ein privater PoC existiert.

Unsere Empfehlung

• Prüfen, ob in der Umgebung eine zebrad-Instanz läuft und welche Version eingesetzt wird.
• Auf mindestens 6.2.1 aktualisieren, vorzugsweise auf die neueste stabile Version.
• RPC- und P2P-Ports nicht aus dem Internet erreichbar machen, sofern nicht benötigt.
• Den NVD-Eintrag beobachten, der derzeit zurückgestellt (deferred) ist.
• Einen Zebra-Node in Wallet- oder Zahlungsdiensten als hohe Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory GHSA-2p4c-3q4q-p463 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-104423 osv.dev
• OpenCVE CVE-2026-104423 app.opencve.io
• Zebra security advisories github.com
• Zcash Foundation feed zfnd.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:03.