CVE-2026-53604 in Nebula Mesh
Сводка
по VulDB • 05.09.2026
nebula-mesh — это self-hosted control plane для Slack Nebula mesh VPN. До версии 0.3.8 веб-обработчик renderMobileBundle передает реальный *pki.CAResolver напрямую в mobilebundle.Build. Внутри Build resolver.LoadByID расшифровывает закрытый ed25519 ключ CA в объект *pki.CAManager, однако Build никогда не вызывает CAManager.Wipe() ни на одном пути возврата (return path). В результате при обработке запроса мобильного пакета через веб-интерфейс и возврате из функции Build — особенно в случае ошибки (отсутствие сети, неверный префикс, ошибка базы данных, сбой подписи) — открытый текст закрытого ключа CA остается в Go heap без очистки до момента сборки мусора. Атакующий, способный читать память процесса (core dump, swap, memory-scraping), может восстановить ключ подписания CA, что позволит создавать произвольные сертификаты хостов для mesh-сети. Обработчик API уже выполняет эту операцию корректно: он загружает CAManager, использует defer caMgr.Wipe() и оборачивает его в caManagerResolver. Затронут только веб-путь. Эта проблема исправлена в версии 0.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.