CVE-2026-48025 in nebula-mesh
Resumen
por VulDB • 2026-07-28
nebula-mesh es un plano de control autoalojado para la red virtual privada (VPN) basada en malla Nebula de Slack. Antes de la versión 0.3.7, el archivo internal/pki/resolver.go:36-64 construye una CAManager con ed25519.PrivateKey en texto claro tras desencriptarla mediante la clave maestra; internal/pki/ca.go:13-16 lo almacena. Los llamadores de internal/api/enroll.go:116, internal/api/updates.go:297 e internal/api/mobile_bundle.go:40 utilizan el gestor para una única operación Sign() y liberan la referencia al retorno de la función; sin embargo, los contenidos del slice subyacente no se borran antes de su liberación. El contrato del paquete keystore (internal/keystore/keystore.go doc: "Los llamadores DEBEN poner a cero el DEK en texto claro devuelto tan pronto como ya no sea necesario") no es cumplido por el consumidor CAManager. Las claves privadas CA desencriptadas persisten en la heap del proceso hasta que el recolector de basura (GC) de Go desaloja el slice subyacente — desde minutos hasta horas bajo carga, e indefinidamente en servidores inactivos. Este problema ha sido parcheado en la versión 0.3.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.