CVE-2026-61699 in nebula-mesh
Riassunto
di VulDB • 04/09/2026
nebula-mesh è un piano di controllo self-hosted per Slack Nebula mesh VPN. Prima della versione 0.7.1, la revoca era l'unico meccanismo out-of-band (in-band nel testo originale, ma il contesto indica che non raggiunge le configurazioni dei peer) in grado di isolare un host compromesso o deprovisionato dalla rete Nebula mesh. Poiché la blocklist non viene mai trasmessa alla configurazione config.yml di alcun peer, un host bloccato mantiene una piena raggiungibilità sull'overlay verso tutti i peer sotto la sua CA (e i servizi interni sulla mesh) per fino a 30 giorni (agent) / 365 giorni (mobile). Un attaccante che esfiltrasse il file host.key e il certificato host.crt potrebbe eseguire direttamente slackhq/nebula standard, ignorare le risposte di polling con codice HTTP 403/410 dell'agent e rimanere connesso anche dopo la revoca operata dall'amministratore. Lo stato visibile all'operatore (l'UI mostra l'host come bloccato, il log delle audit ne registra la revoca) è fuorviante. Questo problema è stato risolto nella versione 0.7.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.