CVE-2026-61699

概要

nebula-meshは、Slack NebulaメッシュVPN用のセルフホスト型コントロールプレーンです。バージョン0.7.1より前では、失効（リボケーション）は、侵害された/オフボードされたホストをNebulaメッシュから隔離する唯一のインバンドメカニズムです。ブロックリストがどのピアのconfig.ymlにも到達しないため、Blockedホストは、そのCA配下のすべてのピア（およびメッシュ上の内部サービス）への完全なオーバーレイ到達可能性を、最大30日間（エージェント）/365日間（モバイル）保持します。host.key+host.crtを外部に持ち出した攻撃者は、標準のslackhq/nebulaを直接実行し、エージェントの403/410ポーリング応答を無視して、オペレーターがホストを失効させた後も接続を維持できます。オペレーターに表示される状態（UIはブロック済みと表示し、監査ログには記録される）は誤解を招くものです。この問題はバージョン0.7.1で修正されています。

• security-research研究

  報告した CVE に関する PoC と write-up（協調的開示；公開済みかつパッチ適用済みのみ）