CVE-2026-47724 in nebula-mesh
要約
〜によって VulDB • 2026年07月23日
nebula-meshは、Slack Nebulaメッシュ仮想プライベートネットワーク用のセルフホスト型コントロールプレーンです。バージョン0.3.4より前では、`/api/v1/*`のルート表面において、ほとんどのエンドポイントで認可にベアラートークンのみが信頼されていました。コードベース自体が `internal/api/hosts.go:384` でこれを認めています。「APIは認可のためにベアラートークンを信頼します；CAごとの所有権はWebレイヤーでのみ強制されます。」Web UIでは、状態変更ルートを `loadAccessibleCA`（`internal/web/cas.go`）を介して制限しています。また、`internal/api/cas.go` のCA管理エンドポイントにも適切な `canAccessCA` によるゲートが設けられています。問題はホスト、ネットワーク、ファイアウォール、モバイルバンドル、およびほとんどのオペレーターエンドポイントにあります。ADR 0002の各オペレーターごとのCAモデルと組み合わせることで、これは非管理者であるオペレーターのAPIキーに広範なクロステナントアクセス権限を与え、最悪の場合には即時の特権昇格につながります。バージョン0.3.4でこの問題は修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.