Zebra 4.5.0, 보안 수정·shielded 채굴

Zcash Foundation이 Zebra 4.5.0을 공개했다. 합의에 치명적인 문제 하나를 포함한 여러 보안 취약점을 고친 릴리스이며, 모든 노드 운영자에게 즉시 업그레이드할 것을 강하게 권고한다. 알려진 우회 방법은 없고 업그레이드만이 노드가 올바른 체인에 남도록 보장한다. 이와 함께 차폐 주소로 채굴하는 기능이 추가되었다.

가장 중요한 항목은 치명적 등급의 GHSA-gf9r-m956-97qx다. Zebra의 순수 Rust 투명 스크립트 파서가 P2SH redeem 스크립트 안의 비활성 opcode를 만나면 서명 연산(sigop) 계산을 일찍 끝내 버려, 20,000 sigop 블록 한도를 과소 계산했다. 그 결과 zcashd가 거부하는 블록을 받아들이는 합의 불일치, 즉 체인 분기로 이어질 수 있었다. 높음 등급으로는 NU5 블록 재시도를 막는 SentHashes 문제(9명이 독립 제보)와 합의상 유효한 블록에서 주소 잔액이 넘쳐 노드가 영구 정지하는 문제가 있다.

중간·낮음 등급은 z_listunifiedreceivers의 잘못된 Sapling 수신자 패닉(6명이 독립 제보), getblocktemplate의 longpollid UTF-8 경계 패닉, 인증 없는 단일 피어의 멤풀 큐 독점, 비최종 체인 포크 후 서브트리 루트 손상, 멤풀 cancel_handles 누수, 단일 피어로 인한 동기화 재시작, 듀얼스택 IPv4 매핑 주소 패닉, 핸드셰이크 전 버퍼 예약, 로케이터 CPU 증폭 등이다. 이 릴리스에는 모두 13건의 보안 권고가 포함된다.

새 기능은 ZIP-213에 따른 차폐 주소 채굴 지원과 Linux TCP slow-start-after-idle 활성화 시 시작 경고다. 그 밖에 피어가 지정한 CompactSize 때문에 큰 메모리가 할당되는 것을 막는 상한 설정과 block::Hash 등의 최대 할당 한도 조정이 있고, 네트워크 설정은 testnet_parameters 대신 [network.params]를 쓰도록 이름이 바뀌었다(기존 형식도 허용).

이번 릴리스는 ZCG 취약점 공개 이니셔티브(2026년 4~5월)에서 접수된 80건이 넘는 보안 제보의 결과를 반영한다. Foundation은 제보한 연구자들과 AI 보조 감사를 수행한 Least Authority 팀에 감사를 전했고, 중복 제보가 취약점 유형의 심각성과 폭을 확인해 주었다고 언급했다.