CVE-2026-61699 in nebula-mesh
要約
〜によって VulDB • 2026年09月04日
nebula-meshは、Slack Nebula mesh VPN用の自己ホスト型コントロールプレーンです。バージョン0.7.1より前では、侵害されたまたはオフボーディングされたホストをNebulaメッシュから隔離するためのインバンドメカニズムとして失効（revocation）のみが利用可能でした。ブロックリストがピアのconfig.ymlに一切反映されないため、ブロック対象となったホストは最大30日間（エージェント）、あるいは365日間（モバイル）にわたり、そのCA配下のすべてのピアおよびメッシュ上の内部サービスに対して完全なオーバーレイ到達性を維持します。攻撃者がhost.keyとhost.crtを盗み出し、slackhq/nebulaの標準版を直接実行し、エージェントからの403/410 poll応答を無視することで、運用担当者がホストを失効させた後も接続状態を保持できます。運用担当者から見えるステータス（UIではブロック済みと表示され、監査ログにも記録される）は誤解を招くものです。この問題はバージョン0.7.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.