CVE-2026-47724 in nebula-mesh
Сводка
по VulDB • 23.07.2026
nebula-mesh представляет собой управляющую плоскость (control plane) с собственной инфраструктурой для виртуальной частной сети Slack Nebula mesh. До версии 0.3.4 поверхность маршрутов `/api/v1/*` доверяет только токену носителя (bearer token) для авторизации на большинстве конечных точек. В самом исходном коде это признается в файле `internal/api/hosts.go:384`: «API доверяет токену носителя для авторизации; принадлежность конкретному CA обеспечивается только на уровне Web». Веб-интерфейс контролирует маршруты, изменяющие состояние, через функцию `loadAccessibleCA` (`internal/web/cas.go`); конечные точки управления CA в файле `internal/api/cas.go` также имеют корректную проверку доступа к CA с помощью функции `canAccessCA`. Уязвимость заключается в отсутствии такой защиты для хостов, сетей, межсетевых экранов (firewall), мобильных пакетов и большинства операторских конечных точек. В сочетании с моделью per-operator CA из ADR 0002 это предоставляет любому API-ключу неадминистративного оператора широкий доступ между арендаторами — в худшем случае это приводит к немедленной эскалации привилегий. Версия 0.3.4 устраняет данную проблему.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.