Zebra: Konsens-Divergenz bei der Signaturprüfung von V5-Transparent-Transaktionen
Zusammenfassung
Zebra vor 4.4.0 berechnet für SIGHASH_SINGLE-Inputs ohne passenden Output einen ZIP-244-Digest, anstatt sie abzulehnen. Ein Angreifer kann eine V5-Transaktion mit weniger Outputs als Inputs erstellen, die Zebra in den Mempool aufnimmt und in Block-Templates übernimmt, während zcashd sie ablehnt. Wenn ein externer Miner eine solche Transaktion in einen Block aufnimmt, entsteht eine Aufspaltung des Netzwerks; eine Beeinträchtigung der Vertraulichkeit wird nicht erwartet.
Betroffen
- Zebra (zebrad) Versionen vor 4.4.0
- Gemäss dem verwandten Advisory GHSA-pvmv-cwg8-v6c8 sind auch zebrad 4.4.0 und zebra-script 6.0.0 von einem eng verwandten ZIP-244-Problem betroffen
Behoben in
- Zebra 4.4.1 oder neuer (gemäss dem verwandten Advisory GHSA-pvmv-cwg8-v6c8, das festhält, dass 4.4.0 diesen spezifischen Fall nicht abdeckt)
- OSV und die CVE-Daten nennen 4.4.0 als korrigierte Version; dies widerspricht dem verwandten Advisory
Umgehung
Unbekannt. Es wurde keine dokumentierte Workaround-Massnahme gefunden. Das Aktualisieren ist die einzige dokumentierte Abhilfe.
Ausnutzung
- Öffentlicher Proof of Concept: Reproduktionsschritte sind im GitHub-Advisory veröffentlicht
- CISA SSVC: Exploitation 'poc', nicht automatisierbar, totale technische Auswirkung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- EPSS 0.00205 (gemäss Vulners)
Unsere Empfehlung
- Zebra umgehend auf Version 4.4.1 oder neuer aktualisieren und die Release-Seite nach der neuesten Version prüfen
- Falls Zebra als Zcash-Node, Miner oder Quelle für Block-Templates betrieben wird, prüfen, ob es exponiert ist, und Logs sowie die Chain-Konsistenz mit zcashd überwachen
- Prüfen, dass die gepatchte Version auf dem korrekten Konsenspfad läuft
- Falls Zebra in der Organisation nicht eingesetzt wird, ist keine Massnahme erforderlich
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cwfq-rfcr-8hmp github.com
- VulnCheck advisory www.vulncheck.com
- GitHub Security Advisory GHSA-pvmv-cwg8-v6c8 (related) github.com
- OSV CVE-2026-104437 osv.dev
- OSV GHSA-cwfq-rfcr-8hmp osv.dev
- Zebra release v4.4.0 github.com
- Vulners VulnCheck record CVE-2026-104437 vulners.com
- DevGuard GHSA-cwfq-rfcr-8hmp docs.devguard.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.