CVE-2026-53602 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 09. 04.
nebula-mesh는 Slack Nebula mesh VPN용 자체 호스팅 제어 플레인입니다. 버전 0.3.7 이전에는 두 가지 관련 있는 권한 부여 결함으로 인해 더 이상 신뢰할 수 없어야 하는 호스트가 새롭고 유효한 Nebula 인증서를 획득할 수 있었습니다. 이는 nebula-mgmt가 인증서 발급 시점에만 아니라 폴링(poll) 시점에서만 취소/권한 상태를 재평가하기 때문입니다.
첫째, 차단 목록(blocklist)은 서명 또는 다시 등록(re-enroll) 시점에 적용되지 않습니다. internal/api/enroll.go:128에서 caMgr.Sign(...)를 호출할 때 차단 목록을 참조하지 않습니다. 차단 목록은 폴링 경로(internal/api/updates.go:57, fingerprintInBlocklist)에서만 확인됩니다. 차단 목록은 인증서 지문(fingerprint)을 키로 사용하므로(internal/store/sqlite.go), 다시 등록하면 새로운 지문이 생성되어 기존 차단 목록에 포함되지 않게 됩니다.
둘째, 갱신 시 운영자(operator)/CA 상태를 재검증하지 않습니다. 폴링 시점의 자동 갱신(internal/api/updates.go:285-319, signHostCert)은 데이터베이스에서 host.Name, host.Groups, host.NebulaIPs를 읽어들인 후 소유한 운영자가 여전히 활성 상태인지 또는 CA가 유효한지 확인하지 않고 서명을 재실행합니다. DisableOperator(internal/store/sqlite_operators.go)는 세션과 API 키를 취소하지만 해당 운영자의 CA를 폐기(retire)하지 않으며, pki/signer.go에서는 CA 인증서의 시간 만료 여부만 검사할 뿐 운영자/CA의 상태를 확인하지 않습니다.
이 문제는 버전 0.3.7에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.