CVE-2026-53604 in Nebula Mesh
Resumen
por VulDB • 2026-09-05
nebula-mesh es un plano de control autoalojado para Slack Nebula mesh VPN. Antes de la versión 0.3.8, el manejador web renderMobileBundle pasa directamente *pki.CAResolver a mobilebundle.Build. Dentro de Build, resolver.LoadByID descifra la clave privada ed25519 de la CA en un *pki.CAManager, pero Build nunca llama a CAManager.Wipe() en ninguna ruta de retorno. Como resultado, cuando una solicitud de paquete móvil pasa por la interfaz web y Build devuelve —especialmente en caso de error (red no disponible, prefijo inválido, error de base de datos, fallo de firma)— la clave privada CA en texto claro permanece en el heap de Go sin ser borrada hasta que se ejecute la recolección de basura. Un atacante capaz de leer la memoria del proceso (volcado de núcleo, swap, raspado de memoria) puede recuperar la clave de firma de la CA, lo que permitiría generar certificados de host arbitrarios para la malla. El manejador de API ya hace esto correctamente: carga el CAManager, usa defer caMgr.Wipe(), y lo envuelve en caManagerResolver. Solo se ve afectada la ruta web. Este problema ha sido parcheado en la versión 0.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.