CVE-2026-48025 in nebula-mesh
Zusammenfassung
von VulDB • 28.07.2026
nebula-mesh ist eine selbst gehostete Control Plane für das Slack Nebula Mesh Virtual Private Network (VPN). Vor Version 0.3.7 wird in internal/pki/resolver.go:36-64 ein CAManager mit dem im Klartext vorliegenden ed25519.PrivateKey erstellt, nachdem dieser durch Entschlüsselung mittels des Master-Schlüssels freigegeben wurde; der Schlüssel wird anschließend in internal/pki/ca.go:13-16 gespeichert. Aufrufer an den Stellen internal/api/enroll.go:116, internal/api/updates.go:297 und internal/api/mobile_bundle.go:40 verwenden den Manager für einen einzelnen Sign()-Aufruf und geben die Referenz bei Rückgabe der Funktion frei – jedoch werden die Inhalte des zugrunde liegenden Slices vor dem Freigeben nicht gelöscht. Der Vertrag des keystore-Pakets (internal/keystore/keystore.go doc: „Anwender MÜSSEN den zurückgegebenen Klartext-DEK sofort auf Null setzen, sobald er nicht mehr benötigt wird“) wird vom CAManager-Nutzer nicht eingehalten. Entschlüsselte CA-Private Keys verbleiben im Prozess-Hauptspeicher (Heap), bis der Garbage Collector von Go das zugrunde liegende Slice bereinigt – dies kann unter Last Minuten bis Stunden dauern und auf inaktiven Servern unbegrenzt lange andauern. Dieses Problem wurde in Version 0.3.7 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.