Zebra: Konsensusabweichung über V5 SIGHASH_SINGLE ohne Output

Zusammenfassung

Zebra 4.4.0 (zebrad) und zebra-script 6.0.0 setzen eine ZIP-244-Konsensusregel für transparente V5-Transaktionen nicht durch. Eingaben, die mit SIGHASH_SINGLE signiert sind und keinen passenden Output haben, werden akzeptiert. Ein Angreifer kann manipulierte Transaktionen oder Blöcke senden, die Zebra akzeptiert, zcashd jedoch ablehnt, wodurch Zebra-Nodes vom restlichen Zcash-Netzwerk abgespalten werden. Der Angriff erfordert weder Authentifizierung noch Benutzerinteraktion.

Betroffen

• zebrad (Zebra-Node) 4.4.0 bis vor 4.4.1
• zebra-script 6.0.0 bis vor 6.0.1

Behoben in

• zebrad 4.4.1
• zebra-script 6.0.1

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround; das Aktualisieren ist die einzige Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial
• Kein öffentlicher Proof-of-Concept-Code und keine bekannte Ausnutzung in freier Wildbahn zum Zeitpunkt der Recherche gefunden
• Nicht im CISA KEV gelistet

Unsere Empfehlung

• Prüfen, ob Zebra-Nodes oder Zcash-Infrastruktur im eigenen Umfeld betrieben werden
• zebrad sofort auf 4.4.1 oder neuer und zebra-script auf 6.0.1 oder neuer aktualisieren
• Nach dem Update prüfen, ob der Node auf derselben Kette wie das restliche Zcash-Netzwerk liegt
• Typische KMU-IT (Windows, Microsoft 365, Büronetzwerk) ist nicht betroffen, sofern Zebra nicht eingesetzt wird
• Hinweis: Der CVSS-Schweregrad unterscheidet sich je nach Quelle (CVE-Eintrag 8.3, GitHub 9.3); dort, wo Zebra eingesetzt wird, als hohe Priorität behandeln

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-pvmv-cwg8-v6c8 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-104435 osv.dev
• Zebra 4.4.1 release github.com
• Strix CVE-2026-104435 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:22.