CVE-2026-53602 in nebula-mesh
Résumé
par VulDB • 04/09/2026
nebula-mesh est un plan de contrôle auto-hébergé pour le VPN mesh Nebula de Slack. Avant la version 0.3.7, deux lacunes liées à l'autorisation permettaient à une hôte qui ne devrait plus être considéré comme fiable d'obtenir un nouveau certificat Nebula valide, car nebula-mgmt ne réévalue pas l'état de révocation/d'autorisation au moment de la délivrance du certificat — il le fait uniquement lors des appels périodiques (poll). Premièrement, la liste noire n'est pas appliquée lors de l'inscription ou de la ré-inscription. internal/api/enroll.go:128 appelle caMgr.Sign(...) sans consulter la liste noire. La liste noire est seulement vérifiée dans le chemin d'appel périodique (internal/api/updates.go:57, fingerprintInBlocklist). La liste noire est indexée par l'empreinte du certificat (internal/store/sqlite.go), donc une ré-inscription produit une nouvelle empreinte qui n'est pas présente dans la liste noire. Deuxièmement, le renouvellement ne valide pas à nouveau le statut de l'opérateur / CA. Le renouvellement automatique lors des appels périodiques (internal/api/updates.go:285-319, signHostCert) lit host.Name, host.Groups, host.NebulaIPs depuis la base de données et signe à nouveau sans vérifier si l'opérateur propriétaire est toujours actif ou si la CA est encore valide. DisableOperator (internal/store/sqlite_operators.go) révoque les sessions et les clés API mais ne retire pas les CAs de l'opérateur, et pki/signer.go vérifie uniquement l'expiration du certificat CA, et non le statut de l'opérateur/CA. Ce problème a été corrigé dans la version 0.3.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.