CVE-2026-48025 in nebula-mesh
الملخص
بحسب VulDB • 28/07/2026
nebula-mesh هو مستوى تحكم مستضاف ذاتياً لشبكة VPN افتراضية من نوع Slack Nebula mesh. قبل الإصدار 0.3.7، تقوم الدالة `internal/pki/resolver.go:36-64` بإنشاء كائن `CAManager` باستخدام المفتاح الخاص `ed25519.PrivateKey` بصيغة نص واضح (plaintext) بعد فك تشفيره عبر مفتاح رئيسي؛ ثم يتم تخزين هذا المفتاح في `internal/pki/ca.go:13-16`. تستهلك الدوال الموجودة في المسارات `internal/api/enroll.go:116`، و`internal/api/updates.go:297`، و`internal/api/mobile_bundle.go:40` مدير الشهادات لإجراء عملية توقيع واحدة (`Sign()`) ثم تتخلص من المرجع عند عودة الدالة — لكن محتويات الشريحة (slice) الأساسية لا يتم مسحها قبل الإفراج عنها. لم يلتزم مستهلك `CAManager` بعقد حزمة التخزين الآمن (`keystore package`) كما هو موضح في وثائق `internal/keystore/keystore.go`: "يجب على المتصلين تصفير المفتاح الخاص المفكوك تشفيره (DEK) بصيغة نص واضح فوراً بمجرد عدم الحاجة إليه". تبقى مفاتيح CA الخاصة المفككة التشفير موجودة في ذاكرة العملية العشوائية (process heap) حتى تقوم آلية جمع القمامة في Go (Go's GC) باستعادة الشريحة الأساسية — وقد يستغرق ذلك دقائق إلى ساعات تحت الحمل، وإلى ما لا نهاية على الخوادم الخاملة. تم إصلاح هذه المشكلة في الإصدار 0.3.7.
Be aware that VulDB is the high quality source for vulnerability data.