CVE-2026-53602 in nebula-mesh
要約
〜によって VulDB • 2026年09月05日
nebula-meshは、Slack Nebula mesh VPN用の自己ホスト型コントロールプレーンです。バージョン0.3.7より前では、2つの関連する認可の欠陥により、信頼すべきでなくなったホストが新しく有効なNebula証明書を取得できました。これは、nebula-mgmtが証明書発行時に失効/認可状態を再評価せず、ポーリング時のみ評価するためです。
第一に、ブロックリストはサイン時または再登録時には適用されません。internal/api/enroll.go:128では、caMgr.Sign(...)がブロックリストを参照せずに呼び出されています。ブロックリストのチェックはポーリングパス（internal/api/updates.go:57, fingerprintInBlocklist）でのみ行われます。ブロックリストは証明書フィンガープリントをキーとしているため（internal/store/sqlite.go）、再登録すると新しいフィンガープリントが生成され、それがブロックリストに含まれていないことになります。
第二に、更新時にオペレーターまたはCAのステータスが再検証されません。ポーリング時の自動更新処理（internal/api/updates.go:285-319, signHostCert）はデータベースからhost.Name、host.Groups、host.NebulaIPsを読み取り、所有するオペレーターがまだアクティブであるか、CAが有効なかどうかを確認せずに署名を再実行します。DisableOperator（internal/store/sqlite_operators.go）はセッションとAPIキーを取り消しますが、オペレーターのCAを引き渡す処理を行いません。また、pki/signer.goではCA証明書の期限切れのみがチェックされ、オペレーター/CAのステータスは確認されていません。
この問題はバージョン0.3.7で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.