CVE-2026-61699 in nebula-mesh
요약
\~에 의해 VulDB • 2026. 09. 04.
nebula-mesh는 Slack Nebula mesh VPN을 위한 자체 호스팅 제어 플레인입니다. 버전 0.7.1 이전에는 revocation(인증서 취소)이 손상되거나 오프보딩된 호스트를 Nebula 메시에서 격리하는 유일한 인밴드(in-band) 메커니즘이었습니다. blocklist가 어떤 피어의 config.yml에도 도달하지 않기 때문에, 차단된 호스트는 최대 30일(에이전트)/365일(모바일) 동안 해당 CA 하의 모든 피어 및 메시 내 내부 서비스에 대한 전체 오버레이 접근성을 유지합니다. 공격자가 host.key와 host.crt를 유출하면 slackhq/nebula 기본 설치를 직접 실행하고 에이전트의 403/410 폴링 응답을 무시한 후, 운영자가 호스트를 취소하더라도 연결 상태를 유지할 수 있습니다. 운영자에게 보이는 상태(UI에서 차단됨으로 표시되고 감사 로그에 기록됨)는 오해를 불러일으킬 수 있습니다. 이 문제는 버전 0.7.1에서 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.