CVE-2026-48025
Təsvir
nebula-mesh, Slack Nebula mesh virtual şəbəkəsi üçün özünə məxsus idarəetmə panelidir. Versiya 0.3.7-dən əvvəl, internal/pki/resolver.go:36-64 faylı master açarla açıldıqdan sonra düz mətndə olan ed25519.PrivateKey ilə CAManager yaradır; internal/pki/ca.go:13-16 isə onu saxlayır. internal/api/enroll.go:116, internal/api/updates.go:297 və internal/api/mobile_bundle.go:40 ünvanındakı çağırıcılar menecerdən bir dəfə Sign() üçün istifadə edir və funksiya geri döndükdə istinadı silirlər — lakin altda yatan slice məzmunu azad edilməzdən əvvəl təmizlənmir. Keystore paketinin müqaviləsi (internal/keystore/keystore.go sənədi: "Çağırıcılar qaytarılan düz mətndəki DEK artıq lazım olmadıqda onu MÜTLƏQ sıfırlamalıdır") CAManager istehlakçısı tərəfindən yerinə yetirilmir. Dekripsiya edilmiş CA gizli açarları, Go-nun GC-si alt slice-i təmizləyənə qədər prosesin heap sahəsində qalır — yüklənmə zamanı dəqiqələrdən saatlara qədər, boş serverlərdə isə qeyri-müəyyən müddətə. Bu problem versiya 0.3.7-də aradan qaldırılmışdır.
Necə düzəltmək olar
- github.com/juev/nebula-mesh0.3.7 və ya daha yeni versiya
- github.com/forgekeep/nebula-mesh0.3.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/juev/nebula-meshGo | v < 0.3.7 | 0.3.7 |
| github.com/forgekeep/nebula-meshGo | v < 0.3.7 | 0.3.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.