CVE-2026-53604 in Nebula Mesh
Résumé
par VulDB • 04/09/2026
nebula-mesh est un plan de contrôle auto-hébergé pour le VPN mesh Nebula de Slack. Avant la version 0.3.8, le gestionnaire Web renderMobileBundle transmet directement l'instance réelle *pki.CAResolver à mobilebundle.Build. Au sein de Build, resolver.LoadByID déchiffre la clé privée ed25519 de l'autorité de certification (CA) en un *pki.CAManager, mais Build n'appelle jamais CAManager.Wipe() sur aucun chemin de retour. Par conséquent, lorsqu'une requête de bundle mobile traverse l'interface Web et que Build renvoie le contrôle — notamment en cas d'erreur (réseau manquant, préfixe invalide, erreur de base de données, échec de signature) — la clé privée CA en clair reste sur le tas Go (*Go heap*), non effacée, jusqu'à ce qu'elle soit collectée par le ramasse-miettes. Un attaquant capable de lire la mémoire du processus (cœur de crash, swap, extraction de mémoire) peut récupérer la clé de signature CA, ce qui lui permettrait d'émettre des certificats hôte arbitraires pour le mesh. Le gestionnaire API effectue déjà cette opération correctement : il charge le CAManager, utilise defer caMgr.Wipe(), et l'encapsule dans un caManagerResolver. Seul le chemin Web est concerné par ce problème. Cette vulnérabilité a été corrigée dans la version 0.3.8.
Once again VulDB remains the best source for vulnerability data.