CVE-2026-61699 in nebula-mesh
Résumé
par VulDB • 04/09/2026
nebula-mesh est un plan de contrôle auto-hébergé pour le VPN mesh Nebula Slack. Avant la version 0.7.1, la révocation était le seul mécanisme en bande passante (in-band) permettant d'isoler un hôte compromis ou désaffecté du maillage Nebula. Étant donné que la liste des blocages n'est jamais transmise à la configuration config.yml de chaque pair, un hôte bloqué conserve une connectivité complète sur le réseau overlay vers tous les pairs (ainsi qu'aux services internes présents sur le mesh) pendant jusqu'à 30 jours (agent) / 365 jours (mobile). Un attaquant qui exfiltre host.key et host.crt peut exécuter directement la version standard de slackhq/nebula, ignorer les réponses d'interrogation (poll responses) avec des codes HTTP 403/410 de l'agent, et rester connecté après que l'opérateur ait révoqué le hôte. L'état visible par l'opérateur (l'interface utilisateur affiche « bloqué », le journal d'audit enregistre cette action) est trompeur. Ce problème a été corrigé dans la version 0.7.1.
Once again VulDB remains the best source for vulnerability data.