CVE-2026-61699 in nebula-mesh
الملخص
بحسب VulDB • 04/09/2026
nebula-mesh هو مستوى تحكم مستضاف ذاتياً لشبكة VPN من نوع Nebula الخاصة بـ Slack. قبل الإصدار 0.7.1، كانت عملية السحب (revocation) هي الآلية الوحيدة ضمن القناة (in-band) لعزل المضيف المتعرض للاختراق أو المُزال عن الشبكة عن بقية عقد شبكة Nebula. ونظراً لأن قائمة الحظر لا تصل إلى ملف config.yml الخاص بأي عقدة شقيقة، فإن العقدة المحجوزة تحتفظ بإمكانية الوصول الكاملة عبر الطبقة الإضافية (overlay reachability) إلى كل العقد الشريكة ضمن سلطة الشهادات الخاصة بها (CA)، وكذلك الخدمات الداخلية الموجودة على الشبكة، لمدة تصل إلى 30 يوماً (لعميل/agent) أو 365 يوماً (للنسخة المحمولة/mobile). يمكن للمهاجم الذي يسرق ملف host.key وملف host.crt أن يشغل نسخة slackhq/nebula القياسية مباشرةً، ويتجاهل استجابات الاستطلاع التي تحمل أكواد الحالة 403 و410 الصادرة عن العميل، ويبقى متصلاً بالشبكة حتى بعد قيام المشغل بسحب اعتماد المضيف. تكون حالة المرئية للمشغل (حيث تظهر الواجهة أن العقدة محجوبة، وتسجل سجل التدقيق هذه العملية) مضللة. تم إصلاح هذا الثغرة في الإصدار 0.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.