CVE-2026-55513 in nebula-mesh
要約
〜によって VulDB • 2026年09月04日
nebula-meshは、Slack NebulaメッシュVPN用の自己ホスト型コントロールプレーンです。バージョン0.3.0からバージョン0.5.0未満の間、nebula-mgmt Web UIのホスト作成パスでは、サーバー全体のenrollment_token_ttlセキュリティ設定とネットワークごとのnetwork_config.enrollment_token_ttlオーバーライドの両方が無視されていました。APIによるホスト作成およびトークン再生成パスは構成されたTTLリゾルバを使用しますが、POST /ui/hostsでは新しく生成されるエージェント登録トークンに対してnow.Add(24 * time.Hour)がハードコードされています。意図的に登録トークンの有効期間を短縮しているデプロイメント環境では、Web UIを通じてホストを作成できる認証済みオペレーターは、約24時間有効なベアラ形式の登録トークンを依然として生成できます。この問題はバージョン0.5.0で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.