Zebra 6.4.2 修補可導致遠端當機的重大漏洞
Zcash Foundation 已發布 Zebra 6.4.2，這是其以 Rust 為基礎的 Zcash 節點實作之緊急安全性更新。Zebra 6.4.0 和 6.4.1 含有高嚴重性漏洞，任何網路對等節點只要傳送一則格式錯誤的 v6 交易訊息，就能讓節點當機。攻擊不需要驗證、完成握手或特殊設定，並可在每次重新啟動後重複發動，讓節點持續離線。
此漏洞是因缺少針對使用過時共識分支 ID 之交易的驗證檢查所造成。Zebra 可以解析該交易，但在為計算其大小而重新序列化時會失敗。Zebra 6.4.2 已恢復驗證檢查，並會在解析時拒絕格式錯誤的交易。此問題只影響可用性，不會危及共識或使用者資金。
Zebra 6.4.0 和 6.4.1 已遭撤回。營運者應立即透過 GitHub 發布版本、crates.io 或 zfnd/zebra:6.4.2 Docker 映像升級至 Zebra 6.4.2。Zebra 6.3.0 及更早版本不受影響。使用 6.4.x 系列的 zebra-chain v13.0.0 或更早版本來反序列化不受信任交易的應用程式，應升級至 zebra-chain v13.0.1。
Neutral
市場的即時影響可能是中性的。Zebra 6.4.2 的漏洞影響的是節點可用性，而不是共識規則、交易最終性或使用者資金。它也僅限於 Zebra 實作，不影響 Zebra 6.3.0 或更早版本。迅速發布修補程式並召回存在漏洞的版本，可降低網路長時間中斷的風險。
短期而言，如果交易者營運 Zcash 基礎設施，或將此次揭露解讀為更廣泛的網路安全問題，他們可能會採取謹慎態度。若大型節點營運者延遲升級，或出現漏洞遭到積極利用的報告，暫時性的擔憂可能提高 ZEC 的波動性。然而，文章沒有證據顯示有資金遭竊、鏈重組或共識分裂，因此沒有理由出現持續性的看跌反應。
長期來看，這次緊急版本發布對 Zcash 的技術韌性略為正面。漏洞是透過持續模糊測試和獨立報告發現的，而修復措施、遭召回的版本及更新後的函式庫提供了明確的補救方案。其他區塊鏈網路出現類似客戶端漏洞時，只要能迅速修補，通常只會造成短暫的市場情緒壓力；較大的市場影響通常只有在停機、漏洞遭利用或資金損失發生後才會出現。交易者應監測節點升級率、任何漏洞遭利用的報告、Zcash 網路可用性，以及 ZEC 的整體交易量。