CVE-2026-61699
nebula-mesh: отзыв сертификата никогда не применяется в mesh-сети
- Опубликовано
- 4 сент. 2026 г.
- Обновлено
- 8 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 4 сент. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NНизкий · следующие 30 дней
- Процентиль
- 37,2 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
nebula-mesh — это самодельный control plane для Slack Nebula mesh VPN. До версии 0.7.1 отзыв (revocation) является единственным внутриполосным механизмом, который изолирует скомпрометированный/выведенный из эксплуатации хост от Nebula mesh. Поскольку blocklist никогда не достигает config.yml ни одного пира, заблокированный хост сохраняет полную связность на уровне overlay со всеми пирами под своим CA (и внутренними сервисами в mesh) на срок до 30 дней (агент) / 365 дней (мобильные устройства). Злоумышленник, который выкрал host.key+host.crt, может запустить стандартный slackhq/nebula напрямую, игнорировать ответы агента на опросы с кодами 403/410 и оставаться подключённым после того, как оператор отзовёт хост. Видимое оператору состояние (UI показывает blocked, журнал аудита фиксирует это) вводит в заблуждение. Эта проблема исправлена в версии 0.7.1.
Источники
PoC и разборы для CVE, о которых я сообщал (скоординированное раскрытие; только опубликованные и исправленные)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.