CVE-2026-61699 in nebula-mesh
Tóm tắt
Bởi VulDB • 04/09/2026
nebula-mesh là một mặt phẳng điều khiển tự lưu trữ cho Nebula mesh VPN của Slack. Trước phiên bản 0.7.1, việc thu hồi (revocation) là cơ chế duy nhất trong băng thông để cô lập máy chủ bị xâm phạm hoặc đã ngừng hoạt động khỏi mạng lưới Nebula. Do danh sách chặn không bao giờ được cập nhật vào tệp cấu hình config.yml của bất kỳ peer nào, một host bị chặn vẫn giữ khả năng truy cập đầy đủ qua lớp phủ (overlay) đến mọi peer dưới CA của nó (và các dịch vụ nội bộ trên mesh) trong tối đa 30 ngày (đối với agent) / 365 ngày (đối với mobile). Một kẻ tấn công có thể đánh cắp host.key và host.crt để chạy trực tiếp slackhq/nebula gốc, bỏ qua các phản hồi poll 403/410 của agent, và duy trì kết nối sau khi nhà vận hành thu hồi quyền của máy chủ. Trạng thái hiển thị với nhà vận hành (giao diện người dùng cho thấy đã bị chặn, nhật ký kiểm toán ghi nhận điều này) là gây hiểu lầm. Vấn đề này đã được sửa chữa trong phiên bản 0.7.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.