CVE-2026-41583: ZEBRA: divergência de consenso no tratamento de tipos de hash sighash transparente
O ZEBRA, nó Zcash escrito em Rust, deixou de aplicar, após uma refatoração, uma regra de consenso que restringe os tipos de hash do sighash, e usou um valor de tipo de hash diferente do zcashd em outro formato de transação. Isso pode levar nós Zebra a aceitar e minerar blocos que nós zcashd consideram inválidos, causando uma divisão de consenso. O registro indica que a correção está no zebrad 4.3.1 e no zebra-script 5.0.2, e não há exploração confirmada nas fontes consultadas.
Visão geral
O ZEBRA é uma implementação de nó Zcash escrita em Rust. Segundo o registro, uma refatoração fez o Zebra deixar de aplicar uma regra de consenso que restringe os valores de tipo de hash do sighash permitidos em transações introduzidas com a atualização NU5, e passou a usar o tipo “canonical” em outro formato de transação, em que o zcashd usa o valor bruto.
Impacto
- Nós Zebra podiam aceitar e eventualmente minerar um bloco que nós zcashd consideram inválido.
- Isso pode criar uma divisão de consenso entre nós Zebra e zcashd.
- As pontuações da NVD e do GitHub no registro são críticas (pontuação base 9.1 na NVD e 9.3 no GitHub). O vetor do registro indica alto impacto em integridade e disponibilidade e nenhum impacto em confidencialidade.
Produtos e versões afetadas
- ZcashFoundation Zebra (zebrad) anterior à 4.3.1.
- zebra-script anterior à 5.0.2.
- O registro lista entradas separadas para Zfnd Zebrad (anterior à 4.3.1) e Zfnd Zebra-script (anterior à 5.0.2).
Status de exploração
Esta CVE não consta como listada no catálogo KEV da CISA presente no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como yes. A probabilidade EPSS é 0.00473, com percentil de 0.39949.
Correção e mitigação
- Atualize o zebrad para a versão 4.3.1 ou posterior.
- Atualize o zebra-script para a versão 5.0.2 ou posterior onde ele for utilizado.
- Consulte o aviso de segurança no GitHub para orientações do fornecedor.
- Até a correção, trate a visão de cadeia do nó com cautela e compare-a com outros nós independentes.
Orientações de detecção
- Inventarie as implantações do Zebra e suas versões, incluindo o uso embarcado do zebra-script.
- Observe blocos ou topos de cadeia rejeitados por pares baseados em zcashd, o que pode indicar divergência.
- Gere alerta quando um nó discordar de forma persistente da maioria da rede.
Limitações das informações disponíveis
- A lista de correções do registro está vazia; as versões corrigidas vêm da descrição e da referência de aviso.
- O registro atribui CWE-573 sem nome.
- O registro não descreve alturas de bloco, se algum bloco inválido chegou à rede em produção, nem condições adicionais de disparo.
- As pontuações de provedores diferentes divergem e devem ser lidas com o contexto do vetor.
Perguntas frequentes
Qual é o problema central da CVE-2026-41583?
Após uma refatoração, o Zebra deixou de aplicar uma regra de consenso sobre tipos de hash do sighash, podendo aceitar blocos que o zcashd considera inválidos e causando divisão de consenso.
Quais versões estão corrigidas?
A descrição informa que o problema foi corrigido no zebrad 4.3.1 e no zebra-script 5.0.2. A lista de correções do registro está vazia, então consulte o aviso do fornecedor para detalhes.
Há exploração conhecida desta CVE?
Ela não consta como listada nos dados KEV do registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.