Vulnérabilité dans zebra-consensus (CVE-2026-52737)
Résumé
Vulnérabilité dans zebra-consensus (CVE-2026-52737). Risque d'opérations non autorisées ou de divulgation. Exploitable via zebrad. Atténuation : mise à jour vers 7.0.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Am I affected
You are affected if:
- You run
zebradup to and includingv4.4.1. - Your node accepts inbound P2P connections and is syncing or catching up to the chain tip.
Summary
A malicious peer can answer Zebra's outbound getblocks/FindBlocks request with a small two-hash inventory, then serve a syntactically valid block whose coinbase height is far above the victim's local tip. The AboveLookaheadHeightLimit error in the sync download pipeline triggers a global sync restart rather than being scoped to the offending peer. The peer is never scored or disconnected because the error type does not carry the advertiser address.
On mainnet, each successful cycle imposes a 67-second sync restart delay. All in-flight downloads from honest peers are cancelled on each restart.
Details
The bug is the interaction of three layers:
-
The syncer promotes unvalidated
FindBlockspeer responses into concrete download schedules without checking that the advertised hashes are plausible chain extensions. -
When a downloaded block's coinbase height exceeds
tip + VERIFICATION_PIPELINE_DROP_LIMIT, the sync downloader returnsBlockDownloadVerifyError::AboveLookaheadHeightLimit. This error variant carries only the block height and hash, not the advertiser peer address. -
The sync error handler in
handle_block_responseonly sends misbehaviour scores forBlockDownloadVerifyError::Invaliderrors that carry anadvertiser_addrand have a nonzero `misbehavi…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-52737 a été découverte dans zebra-consensus.
Des attaquants peuvent cibler un point d'entrée spécifique comme zebrad à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.3/10.
Action : mettez à jour zebra-consensus vers 7.0.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « zebra-consensus CVE-2026-52737 » sur le site de l'éditeur.
CVE-2026-52737 (zebra-consensus) — CWE-345 / CVSS v3 5.3
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : zebrad / getblocks / FindBlocks / AboveLookaheadHeightLimit
Correctif : 7.0.0 — appliquer immédiatement
Contournement : No configuration-level workaround is available.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-345) affecte zebra-consensus. Les attaquants atteignent le code vulnérable via zebrad sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de zebra-consensus. Surface d'attaque : zebrad / getblocks / FindBlocks / AboveLookaheadHeightLimit.
Gravité : Moyenne (CVSS 5.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.0.0.
Contournement : No configuration-level workaround is available.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'zebra-consensus' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
zebra-consensusを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
No configuration-level workaround is available.パッチが適用されるまでの応急処置として、No configuration-level workaround is available. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade zebra-consensus to 7.0.0ステージング環境で 7.0.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。