CVE-2026-61699 in nebula-mesh
Sumário
de VulDB • 04/09/2026
nebula-mesh é um plano de controle auto-hospedado para a VPN mesh Nebula do Slack. Antes da versão 0.7.1, o revogamento era o único mecanismo em banda que isolava um host comprometido ou desativado (offboarded) da rede mesh Nebula. Como a lista de bloqueios nunca é aplicada à configuração config.yml dos pares, um host bloqueado mantém acesso completo na camada overlay para todos os pares sob sua CA (e serviços internos na malha) por até 30 dias (agente) / 365 dias (dispositivo móvel). Um atacante que exfiltrar o arquivo host.key + host.crt pode executar a versão padrão do slackhq/nebula diretamente, ignorar as respostas de polling com status HTTP 403/410 do agente e permanecer conectado mesmo após o operador revogar o host. O estado visível para o operador (a interface mostra como bloqueado; o log de auditoria registra essa ação) é enganoso. Este problema foi corrigido na versão 0.7.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.