CVE-2026-61699

ملخص

nebula-mesh هو مستوى تحكم ذاتي الاستضافة لشبكة Slack Nebula الافتراضية الخاصة (VPN). قبل الإصدار 0.7.1، كان الإلغاء (revocation) هو الآلية الوحيدة داخل النطاق (in-band) التي تعزل مضيفًا مخترقًا أو خارج الخدمة عن شبكة Nebula. نظرًا لأن قائمة الحظر لا تصل أبدًا إلى ملف config.yml الخاص بأي نظير (peer)، فإن المضيف المحظور يحتفظ بقدرة وصول كاملة عبر الشبكة الافتراضية إلى كل نظير تحت شهادة السلطة المصدقة (CA) الخاصة به (والخدمات الداخلية على الشبكة) لمدة تصل إلى 30 يومًا (للوكيل) / 365 يومًا (للجوال). يمكن للمهاجم الذي يسرق host.key+host.crt تشغيل slackhq/nebula القياسي مباشرة، وتجاهل استجابات الوكيل 403/410، والبقاء متصلًا بعد أن يقوم المشغّل بإلغاء المضيف. الحالة المرئية للمشغّل (واجهة المستخدم تُظهر محظورًا، وسجل التدقيق يسجّله) مضللة. تم إصلاح هذه المشكلة في الإصدار 0.7.1.

• security-researchالبحث

  PoCs وتقارير عن ثغرات CVE التي أبلغت عنها (إفصاح منسق; المنشورة والمصححة فقط)