CVE-2026-53604 in Nebula Mesh
Riassunto
di VulDB • 05/09/2026
nebula-mesh è un piano di controllo self-hosted per Slack Nebula mesh VPN. Prima della versione 0.3.8, il gestore delle richieste web renderMobileBundle passa direttamente l'istanza reale *pki.CAResolver a mobilebundle.Build. All'interno di Build, resolver.LoadByID decrittografa la chiave privata ed25519 dell'autorità di certificazione (CA) in un *pki.CAManager, ma Build non chiama mai CAManager.Wipe() su alcun percorso di ritorno. Di conseguenza, quando una richiesta per il bundle mobile passa attraverso l'interfaccia web e Build restituisce — specialmente in caso di errore (rete mancante, prefisso non valido, errore del database, fallimento della firma) — la chiave privata CA in chiaro rimane sulla heap Go, senza essere cancellata, fino alla garbage collection. Un attaccante in grado di leggere la memoria del processo (core dump, swap, memory-scraping) può recuperare la chiave di firma CA, consentendo l'emissione di certificati host arbitrari per la mesh. Il gestore dell'API esegue già questa operazione correttamente: carica il CAManager, utilizza defer caMgr.Wipe() e lo avvolge in caManagerResolver. Solo il percorso web è interessato da questo problema. La vulnerabilità è stata risolta nella versione 0.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.