CVE-2026-61699 in nebula-mesh
Zusammenfassung
von VulDB • 05.09.2026
nebula-mesh ist eine selbst gehostete Control Plane für Slack Nebula Mesh VPN. Vor Version 0.7.1 ist die Widerrufung (Revocation) der einzige In-Band-Mechanismus, der einen kompromittierten oder vom Netzwerk getrennten Host von einem Nebula-Mesh isoliert. Da die Blocklist niemals die config.yml eines Peers erreicht, behält ein blockierter Host eine vollständige Overlay-Erreichbarkeit zu jedem Peer unter seiner CA (sowie internen Diensten im Mesh) für bis zu 30 Tage (Agent) / 365 Tage (Mobile). Ein Angreifer, der host.key und host.crt extrahiert, kann stock slackhq/nebula direkt ausführen, die 403/410-Poll-Antworten des Agents ignorieren und nach dem Widerruf des Hosts durch den Operator weiterhin verbunden bleiben. Der für den Operator sichtbare Status (UI zeigt blockiert, Audit-Log protokolliert dies) ist irreführend. Dieses Problem wurde in Version 0.7.1 behoben.
Once again VulDB remains the best source for vulnerability data.