ZcashFoundation Zebra: Denial of Service über manipulierte V6-Transaktion

Zusammenfassung

Zebra, die Zcash-Full-Node-Software, in den Versionen 6.4.0 bis vor 6.4.2 kann durch eine einzelne manipulierte Transaktion der Version 6, die über das Peer-to-Peer-Netzwerk gesendet wird, zum Absturz gebracht werden. Der Node parst die Transaktion mit einer Konsens-Branch-ID vor NU6.3, und eine spätere Grössenberechnung bringt den zebrad-Prozess zum Abbruch. Es ist weder eine Authentifizierung noch ein abgeschlossener Handshake nötig, und der Angreifer kann den Absturz nach jedem Neustart wiederholen. Die Auswirkung beschränkt sich auf die Verfügbarkeit; laut Hersteller sind weder Guthaben noch Konsens betroffen.

Betroffen

• ZcashFoundation Zebra (zebrad) 6.4.0 bis vor 6.4.2 (6.4.0 und 6.4.1)

Behoben in

• Upgrade auf Zebra 6.4.2 (auch in zebra-chain 13.0.1 behoben)

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Massnahme ausser dem Upgrade.

Ausnutzung

• Aktive Ausnutzung: Unbekannt; in den geprüften Quellen wurden keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partial.
• EPSS: 0.00432 (niedrig).

Unsere Empfehlung

• Alle Zebra-Nodes von 6.4.0 oder 6.4.1 zeitnah auf 6.4.2 aktualisieren, ausschliesslich mit offiziellen ZcashFoundation-Releases oder dem offiziellen zfnd/zebra-Image.
• Nach dem Upgrade prüfen, ob der Node sauber neu startet, und auf wiederholte Abstürze überwachen.
• Den Peer-Port dort einschränken, wo er nicht benötigt wird, und prüfen, ob der Node aus dem Internet erreichbar ist.
• Die Relevanz für typische KMU ist gering; sie betrifft vor allem Unternehmen, die Zcash-Nodes betreiben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h5rr-8pqv-grp9 github.com
• Fix commit 008abac github.com
• Zebra v6.4.2 release github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-109363 osv.dev
• NVD record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:46.