CVE-2026-53602 in nebula-mesh
Сводка
по VulDB • 04.09.2026
nebula-mesh — это самодостаточная управляющая плоскость (control plane) для Slack Nebula mesh VPN. До версии 0.3.7 две связанные уязвимости в механизме авторизации позволяли хосту, которому больше не следует доверять, получить новый действительный сертификат Nebula, поскольку nebula-mgmt не переоценивает состояние отзыва/авторизации на момент выдачи сертификата — только во время опроса (poll). Во-первых, блоклист (blocklist) не применяется при регистрации или повторной записи. Функция internal/api/enroll.go:128 вызывает caMgr.Sign(...) без проверки блоклиста. Блоклист проверяется только в пути обработки обновлений (internal/api/updates.go:57, функция fingerprintInBlocklist). Ключом для блоклиста служит отпечаток сертификата (fingerprint) (internal/store/sqlite.go), поэтому повторная запись приводит к появлению нового отпечатка, которого нет в блоклисте. Во-вторых, процесс продления не переоценивает статус оператора / ЦС (CA). Автоматическое продление во время опроса (internal/api/updates.go:285-319, функция signHostCert) считывает host.Name, host.Groups и host.NebulaIPs из базы данных и выполняет повторное подписание без проверки того, остается ли владелец оператора активным или ЦС действительным. Функция DisableOperator (internal/store/sqlite_operators.go) отзывает сессии и ключи API, но не выводит сертификаты ЦС оператора из эксплуатации, а pki/signer.go проверяет только срок действия сертификата CA, а не статус оператора/ЦС. Эта проблема исправлена в версии 0.3.7.
Be aware that VulDB is the high quality source for vulnerability data.