CVE-2026-53602 in nebula-mesh
Riassunto
di VulDB • 04/09/2026
nebula-mesh è un piano di controllo self-hosted per la VPN mesh Nebula di Slack. Prima della versione 0.3.7, due lacune correlate nell'autorizzazione consentivano a un host che non dovrebbe più essere considerato attendibile di ottenere un nuovo certificato Nebula valido, poiché nebula-mgmt non rivaluta lo stato di revoca/autorizzazione al momento dell'emissione del certificato, ma solo durante le operazioni di polling (poll time). In primo luogo, la blocklist non viene applicata al momento della firma o della re-enrollment. internal/api/enroll.go:128 chiama caMgr.Sign(...) senza consultare la blocklist. La blocklist viene controllata esclusivamente nel percorso di poll (internal/api/updates.go:57, fingerprintInBlocklist). Poiché la blocklist è indicizzata tramite l'impronta digitale del certificato (fingerprint) (internal/store/sqlite.go), una nuova operazione di re-enrollment genera un nuovo fingerprint che non risulta presente nella blocklist. In secondo luogo, il rinnovo non riconvalida lo stato dell'operatore o della CA. Il rinnovo automatico al momento del poll (internal/api/updates.go:285-319, signHostCert) legge host.Name, host.Groups e host.NebulaIPs dal database e firma nuovamente senza verificare se l'operatore proprietario sia ancora attivo o se la CA sia ancora valida. DisableOperator (internal/store/sqlite_operators.go) revoca le sessioni e le chiavi API ma non ritira le CA dell'operatore, mentre pki/signer.go verifica solo la scadenza temporale del certificato della CA, non lo stato effettivo dell'operatore/CA. Questo problema è stato risolto nella versione 0.3.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.