CVE-2026-48025 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 07. 28.
nebula-mesh는 Slack Nebula 메시 가상 사설망(VPN)을 위한 자체 호스팅 제어 플레인입니다. 버전 0.3.7 이전의 internal/pki/resolver.go:36-64에서는 마스터 키를 통해 언래핑한 후 평문 ed25519.PrivateKey로 CAManager를 구성하며, 이는 internal/pki/ca.go:13-16에 저장됩니다. internal/api/enroll.go:116, internal/api/updates.go:297 및 internal/api/mobile_bundle.go:40의 호출자는 이 매니저를 사용하여 한 번 Sign()을 수행한 후 함수 반환 시 참조를 해제하지만, 릴리스 전에 하위 슬라이스 내용이 지워지지 않습니다. keystore 패키지의 계약(internal/keystore/keystore.go 문서: "호출자는 더 이상 필요하지 않은 평문 DEK가 즉시 제로화되어야 합니다")은 CAManager 소비자에 의해 충족되지 않습니다. 복호화된 CA 개인 키는 Go의 GC가 하위 슬라이스를 수집할 때까지 프로세스 힙에 남아 있으며, 부하 상태에서는 수분에서 수시간 동안, 유휴 서버에서는 무기한으로 유지됩니다. 이 문제는 버전 0.3.7에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.