Zebra: Denial of Service durch quadratische Komplexitaet in der Pruefung transparenter Werte

Zusammenfassung

Zebra, die Rust-Implementierung eines Vollknotens des Zcash-Netzwerks, enthaelt eine Schwachstelle mit algorithmischer Komplexitaet in der Blockvalidierung. Bei jeder Transaktion wird die blockweite Map der ausgegebenen Outputs kopiert, wodurch die Pruefzeit quadratisch mit der Anzahl der Transaktionen wachst. Ein Angreifer, der einen Block mint oder das oeffentliche Mempool so praepariert, dass ein ehrlicher Miner solche Transaktionen aufnimmt, kann jeden validierenden Knoten ueber 52 Sekunden verzoegern; die Ausloesung setzt einen gueltigen Proof-of-Work-Block voraus, und Abstuerze, Konsens-Divergenz oder Datenbeschaedigung werden nicht gemeldet.

Betroffen

• Zebra (zebrad) Versionen vor 6.1.0 gemaess CNA-Bereich (betroffen 0 bis kleiner 6.1.0)
• Eine sekundaere Quelle nennt nur 6.0.0 als betroffen; dies konnte nicht bestaetigt werden, daher sind alle Versionen unter 6.1.0 als betroffen zu betrachten

Behoben in

• Zebra 6.1.0 (Fix-PR #10995, Advisory GHSA-4g24-549m-hp75)

Umgehung

• Es ist keine rein konfigurationsbasierte Massnahme dokumentiert. Das Einspielen des Updates ist die einzige bekannte Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Laut einem Drittanbieter-Tracker nicht im CISA KEV gelistet.
• Kein oeffentlicher Proof of Concept und keine Berichte ueber Ausnutzung gefunden.

Unsere Empfehlung

• Falls Sie einen Zebra-Knoten betreiben, auf 6.1.0 oder die aktuelle Release-Linie aktualisieren.
• Pruefen, ob Zcash-Knoten-Software in Ihrer Umgebung vorhanden ist, etwa bei Boersen, Custodians, Wallet-Backends oder Mining-Betrieben.
• Knotenleistung und Blockvalidierungszeiten auf ungewoehnliche Verzoegerungen ueberwachen.
• Organisationen ohne Zebra-Knoten benoetigen fuer diese CVE keine Massnahme.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4g24-549m-hp75 github.com
• VulnCheck advisory www.vulncheck.com
• Zebra 6.1.0 release github.com
• Zcash Foundation Zebra 6.1.0 post zfnd.org
• OSV CVE-2026-104426 osv.dev
• CVE-2026-104426 on threatint cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:23.