CVE-2026-53602 in nebula-mesh
Sumário
de VulDB • 04/09/2026
nebula-mesh é um plano de controle auto-hospedado para a VPN mesh Nebula do Slack. Antes da versão 0.3.7, duas falhas relacionadas à autorização permitiam que um host que não deveria mais ser confiável obtivesse um certificado Nebula novo e válido, pois o nebula-mgmt não reavalia o estado de revogação/autorização no momento da emissão do certificado — apenas durante a consulta (poll). Em primeiro lugar, a lista negra (blocklist) não é aplicada no momento do registro ou reenrolamento. O arquivo internal/api/enroll.go:128 chama caMgr.Sign(...) sem consultar a lista negra. A lista negra só é verificada no caminho de polling (internal/api/updates.go:57, fingerprintInBlocklist). A lista negra usa como chave o hash/fingerprint do certificado (internal/store/sqlite.go), portanto um reenrolamento produz um novo fingerprint que não está na lista negra. Em segundo lugar, a renovação não revalida o status do operador / CA. A renovação automática no momento do polling (internal/api/updates.go:285-319, signHostCert) lê host.Name, host.Groups e host.NebulaIPs do banco de dados e assina novamente sem verificar se o operador proprietário ainda está ativo ou se a CA continua válida. DisableOperator (internal/store/sqlite_operators.go) revoga sessões e chaves de API, mas não desativa as CAs do operador, e pki/signer.go verifica apenas a expiração temporal do certificado da CA, não o status do operador/CA. Esta questão foi corrigida na versão 0.3.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.