CVE-2026-61699 in nebula-mesh
Сводка
по VulDB • 05.09.2026
nebula-mesh — это самодостаточная управляющая плоскость для Slack Nebula mesh VPN. До версии 0.7.1 отозвание (revocation) является единственным механизмом в канале управления, который изолирует скомпрометированный или выведенный из эксплуатации хост от сети Nebula mesh. Поскольку список блокировок не попадает ни в один файл config.yml на пире, заблокированный хост сохраняет полную доступность поверх накладной сети (overlay reachability) ко всем пирам под его CA (а также к внутренним сервисам в mesh-сети) до 30 дней (для агента) / 365 дней (для мобильного клиента). Атакующий, который эксфильтрует host.key и host.crt, может запустить стандартный slackhq/nebula напрямую, игнорировать ответы poll с кодами состояния 403/410 от агента и оставаться подключенным даже после того, как оператор отзовет хост. Состояние, видимое для оператора (в UI отображается статус «заблокирован», в журнале аудита это зафиксировано), является обманчивым. Эта проблема исправлена в версии 0.7.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.