PT-2026-38618 · Zebra · Zebra
Sangsoo-Osec
·
Publicado
2026-05-07
·
Atualizado
2026-06-10
·
CVE-2026-44497
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Zebra versões 4.3.1 through 4.3.1
Descrição
O tratamento de erro insuficiente durante a computação do sighash pode levar a uma divergência de consenso. Quando um tipo de sighash inválido é encontrado, o sistema não retorna um erro, deixando o buffer de entrada do sighash intacto. Se uma validação de assinatura anterior deixou um sighash válido no buffer, um tipo de hash inválido pode ser aceito incorretamente. Isso ocorre porque a ponte de interface de função estrangeira (FFI) só escreve no buffer de sighash C++ quando o callback Rust retorna
Some, mas o verificador C++ lê o buffer incondicionalmente, fazendo com que o sinal de falha seja perdido. Um invasor pode explorar isso construindo uma saída transparente que execute um OP CHECKSIGVERIFY válido seguido por um OP CHECKSIG com um tipo de hash indefinido, potencialmente induzindo a partição da rede, interrupção do serviço e ataques de gasto duplo.Recomendações
Atualize para a versão 4.4.0.
Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zebra