Zebra 4.3.0 Security Advisory: Fixes for CVE-2026-34202 (DoS) and CVE-2026-34377 (Consensus Failure)

バグ修正の重要情報まとめ 1. 脆弱性の概要 本ページでは、Zebra バージョン 4.3.0 に関連する2つの主要なセキュリティ脆弱性について主に報告しています： CVE-2026-34202 (Critical, CVSS 9.2): 遠隔拒否サービス（Remote Denial of Service via Crafted V5 Transactions）。 概要：Zebra の取引検証ロジックの脆弱性により、認証されていない攻撃者が特製（悪意のある）の V5 取引を送信することで、取引 ID 計算中に panic（プログラムクラッシュ）を引き起こすことができます。 CVE-2026-34377 (High, CVSS 8.4): コンセンサス失敗（Consensus Failure via Crafted V5 Authorization Data）。 概要：Zebra の取引検証ロジックにおけるエラーにより、攻撃者のマイナーがコンセンサスの分裂を誘発できる可能性があります。攻撃者は、有効な取引の txId に一致するが有効な認証データを提供しないことで、取引を受け入れさせ、チェーン分裂を引き起こします。 2. 影響範囲 影響を受けるコンポーネント: Zebra ノードの取引検証（transaction verification）および直列化解除（deserialization）ロジック。 潜在的な結果: ノードのクラッシュ（Panic）。 チェーン分裂によるノードのネットワーク他の部分からの孤立。 拒否サービス（DoS）攻撃。 3. 修復方法 アップグレード推奨: すべての Zebra ノード運用者は、ただちに Zebra 4.3.0 版へアップグレードすることを強く推奨します。 具体的な修復内容: CVE-2026-34202 について: 取引 ID 計算時の panic を修正し、グラースフルなエラー処理（graceful error handling）に変更しました。 CVE-2026-34377 について: 完全な取引の整合性（認証データを含む）が検証された場合のみ検証をスキップするよう確保しました。 V5 取引検証回避の修正: コンセンサスロジックを修正し、mined transaction IDs のみに基づいて V5 取引を自動的に検証済みとマークしないようにしました。これにより、proof checks（Proof of Work 検証）をスキップすることによるチェーン分裂を防止します。 直列化解除時の Panic 修正**: 取引をさらに処理する前に安全に直列化解除できることを確認するための適切な検証を追加しました。

目標達成 すべての支援者に感謝 — 100%達成しました！

Zebra 4.3.0 Security Advisory: Fixes for CVE-2026-34202 (DoS) and CVE-2026-34377 (Consensus Failure)

目標達成すべての支援者に感謝 — 100%達成しました！