CVE-2026-61699
nebula-mesh: Zertifikatswiderruf wird im Mesh nie erzwungen
- Veröffentlicht
- 04.09.2026
- Aktualisiert
- 08.09.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 04.09.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NNiedrig · nächste 30 Tage
- Perzentil
- 37,2 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
nebula-mesh ist eine selbst gehostete Steuerungsebene für Slack Nebula Mesh VPN. Vor Version 0.7.1 ist die Sperrung (Revocation) der einzige In-Band-Mechanismus, der einen kompromittierten/ausgegliederten Host von einem Nebula-Mesh isoliert. Da die Blocklist niemals die config.yml eines Peers erreicht, behält ein blockierter Host für bis zu 30 Tage (Agent) / 365 Tage (mobil) uneingeschränkte Overlay-Erreichbarkeit zu jedem Peer unter seiner CA (und internen Diensten im Mesh). Ein Angreifer, der host.key+host.crt exfiltriert, kann direkt das Standard-slackhq/nebula ausführen, die 403/410-Poll-Antworten des Agents ignorieren und nach der Sperrung des Hosts durch den Betreiber verbunden bleiben. Der für den Betreiber sichtbare Zustand (UI zeigt blockiert, Audit-Log zeichnet es auf) ist irreführend. Dieses Problem wurde in Version 0.7.1 behoben.
Quellen
PoCs & Write-ups zu CVEs, die ich gemeldet habe (koordinierte Offenlegung; nur veröffentlichte und gepatchte)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.