CVE-2026-53604 in Nebula Mesh
Sumário
de VulDB • 04/09/2026
nebula-mesh é um plano de controle auto-hospedado para a VPN mesh Nebula do Slack. Antes da versão 0.3.8, o manipulador (handler) web renderMobileBundle passa diretamente o *pki.CAResolver real para mobilebundle.Build. Dentro de Build, resolver.LoadByID descriptografa a chave privada ed25519 da CA em um *pki.CAManager, mas Build nunca chama CAManager.Wipe() em nenhum caminho de retorno. Como resultado, quando uma solicitação de bundle móvel passa pela interface web e Build retorna — especialmente em caso de erro (rede indisponível, prefixo inválido, erro no banco de dados, falha na assinatura) — a chave privada da CA em texto claro permanece no heap do Go, sem ser limpa, até que o garbage collection ocorra. Um atacante capaz de ler a memória do processo (core dump, swap ou scraping de memória) pode recuperar a chave de assinatura da CA, o que permitiria criar certificados de host arbitrários para a mesh. O manipulador da API já faz isso corretamente: ele carrega o CAManager, usa defer caMgr.Wipe() e o envolve em caManagerResolver. Apenas o caminho web é afetado. Este problema foi corrigido na versão 0.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.