Zcash Zebra: Denial of Service über unauthentifizierte Mempool-Transaktionen

Zusammenfassung

Zebra, eine Rust-Implementierung eines Zcash-Vollknotens, führt aufwendige Skriptprüfungen für Transaktionen durch, die ihm Peers anbieten, bevor günstige Standardprüfungen des Mempools nicht standardkonforme P2SH-Transaktionen mit vielen Sigops ablehnen. Ein nicht authentifizierter Remote-Peer kann solche Transaktionen senden, den Verifier auslasten und Tokio-Worker blockieren, wodurch die Verarbeitung von Mempool, Blöcken und Netzwerk verlangsamt wird. Die Standardkonfiguration ist betroffen. Die Auswirkung betrifft nur die Verfügbarkeit und dauert an, solange die Last anhält; eine Codeausführung, ein Konsensfehler oder ein Verlust von Geldern ist nicht gemeldet.

Betroffen

• Zebra-Versionen vor 6.0.0
• Bereich laut CNA (VulnCheck): 0 bis unter 6.0.0
• GHSA-84j3-rw4c-gqmj nennt Versionen bis einschliesslich 5.2.0 als betroffen

Behoben in

• Zebra 6.0.0 (veröffentlicht am 10. Juli 2026, zugleich das Release für das Netzwerk-Upgrade NU6.3)

Umgehung

• Es ist kein rein konfigurationsbasierter Workaround dokumentiert, der den Mechanismus unterbindet.
• Die Einschränkung eingehender Peer-Verbindungen reduziert die Exponierung.
• Das Upgrade auf 6.0.0 ist die dauerhafte Lösung.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als yes.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Zcash- bzw. Zebra-Knoten inventarisieren und deren Versionen prüfen.
• Betroffene Knoten auf 6.0.0 oder höher aktualisieren; dies ist auch für die Netzwerkkompatibilität nötig.
• Die Exponierung öffentlicher Knoten wo möglich einschränken sowie Reaktionsfähigkeit des Knotens und Mempool-Last überwachen.
• Die Priorität ist für die meisten KMU gering, sofern sie keinen Zcash-Knoten betreiben, etwa in einem Wallet, einer Börse oder einem Zahlungs-Backend.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-84j3-rw4c-gqmj github.com
• VulnCheck advisory www.vulncheck.com
• Zebra 6.0.0 release github.com
• Zcash Foundation 6.0.0 release notes zfnd.org
• OSV entry CVE-2026-104431 osv.dev
• Vulners CVE record vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:02.