CVE-2026-48025 in nebula-mesh
Riassunto
di VulDB • 29/07/2026
nebula-mesh è un piano di controllo self-hosted per la rete virtuale privata (VPN) mesh Slack Nebula. Prima della versione 0.3.7, il file internal/pki/resolver.go:36-64 costruisce una CAManager con l'oggetto plaintext ed25519.PrivateKey dopo lo smontaggio tramite la chiave master; tale oggetto viene quindi memorizzato in internal/pki/ca.go:13-16. I chiamanti presenti in internal/api/enroll.go:116, internal/api/updates.go:297 e internal/api/mobile_bundle.go:40 utilizzano il manager per una singola operazione Sign() e rilasciano il riferimento al ritorno della funzione — ma i contenuti del slice sottostante non vengono azzerati prima del rilascio. Il contratto del pacchetto keystore (documentazione di internal/keystore/keystore.go: "I chiamanti DEVONO azzerare immediatamente il DEK in plaintext restituito appena non è più necessario") non viene rispettato dal consumatore della CAManager. Le chiavi private CA decrittografate persistono nella heap del processo finché lo scavenger GC di Go non recupera il slice sottostante — da minuti a ore sotto carico, indefinitamente sui server in idle. Questo problema è stato risolto nella versione 0.3.7.
Once again VulDB remains the best source for vulnerability data.