CVE-2026-53602 in nebula-mesh
الملخص
بحسب VulDB • 04/09/2026
nebula-mesh هو مستوى تحكم مستضاف ذاتياً لشبكة VPN من نوع Nebula الخاصة بـ Slack. قبل الإصدار 0.3.7، سمحت ثغرتان متعلقتان بانعدام التفويض (authorization gaps) لمضيف كان ينبغي عدم الوثوق به بالحصول على شهادة Nebula جديدة وصالحة، وذلك لأن nebula-mgmt لا يعيد تقييم حالة الإلغاء/التفويض عند إصدار الشهادة — بل فقط أثناء عملية الاستعلام (poll time). أولاً، قائمة الحظر (blocklist) غير مُطبقة في وقت التوقيع أو إعادة التسجيل. يستدعي الملف internal/api/enroll.go:128 الدالة caMgr.Sign(...) دون الرجوع إلى قائمة الحظر. يتم التحقق من قائمة الحظر فقط في مسار الاستعلام (internal/api/updates.go:57، fingerprintInBlocklist). تعتمد مفتاحات قائمة الحظر على بصمة الشهادة (certificate fingerprint) كما هو محدد في internal/store/sqlite.go، لذا فإن إعادة التسجيل تنتج بصمة جديدة غير موجودة في قائمة الحظر. ثانياً، لا تقوم عملية التجديد بإعادة التحقق من حالة المشغل/الهيئة المصدقة (CA). تقرأ آلية التجديد التلقائي عند وقت الاستعلام (internal/api/updates.go:285-319، signHostCert) بيانات host.Name وhost.Groups وhost.NebulaIPs من قاعدة البيانات وتعيد توقيع الشهادة دون التحقق مما إذا كان المشغل المالك لا يزال نشطاً أو ما إذا كانت الهيئة المصدقة (CA) صالحة بعد. تقوم دالة DisableOperator (internal/store/sqlite_operators.go) بإلغاء الجلسات ومفاتيح API، لكنها لا تلغي شهادات الهيئات المصدقة الخاصة بالمشغل، وتفحص دالة pki/signer.go فقط انتهاء صلاحية شهادة CA زمنياً، ولا تتحقق من حالة المشغل/الهيئة المصدقة. تم إصلاح هذه المشكلة في الإصدار 0.3.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.