Zebra 4.3.0, NSM(ZIP-235) 지원

Zcash Foundation이 Zebra 4.3.0을 공개했다. 이 릴리스에는 치명적 보안 수정이 포함되어 있어 모든 노드 운영자에게 즉시 업그레이드를 강하게 권고했다. 보안 패치와 함께 네트워크 지속가능성 메커니즘(NSM, ZIP-235) 지원이 도입됐고, 성능 프로파일링 개발 도구가 개선됐으며 여러 버그가 수정됐다.

보안 권고는 두 건이다. CVE-2026-34202(치명, CVSS 9.2)는 초기 역직렬화는 통과하지만 거래 ID 계산 중 패닉을 일으키는 조작된 V5 거래로 원격·비인증 공격자가 노드를 크래시시킬 수 있는 문제다. CVE-2026-34377(높음, CVSS 8.4)은 거래 검증 캐시의 논리 오류로, 악의적 채굴자가 유효 거래의 txid와 일치하면서 잘못된 인증 데이터를 넣어 체인 분리를 유도할 수 있었다. 무효 거래가 수락되지는 않는다.

추가로 두 가지 문제가 공개됐다. 하나는 V5 거래가 채굴된 거래 ID만으로 검증 완료 처리되어 증명 검증을 건너뛰던 버그다. 유효한 거래라 무효 거래가 수락되지는 않았지만, 증명이 무효인 거래가 채굴되면 다른 구현과 체인 분리가 날 수 있었다. 다른 하나는 librustzcash로 처리하는 일부 거래의 역직렬화 중 패닉이다. 각각 alexs-scalar와 robustfengbin이 책임 있게 제보했고, 재발 방지를 위해 V5 거래 테스트 생성기도 확장됐다.

새 기능은 ZIP-235의 초기 구현으로, 기본 비활성이며 기능 플래그 뒤에 있어 프로덕션 빌드에서는 켜지지 않고 테스트와 개발용으로만 쓸 수 있다. 프로파일링용 Cargo 프로파일과 문서가 추가됐다. 버그 수정으로는 Regtest 블록 전파, 캐노피 이전 getblocksubsidy의 Founders' Reward 차감 누락, 체크포인트 반복 파싱으로 CPU 스레드 하나를 점유하던 테스트넷 성능 문제가 있다.