CVE-2026-48025
Açıklama
nebula-mesh, Slack Nebula mesh sanal özel ağı için kendi barındırılan bir kontrol düzlemidir. 0.3.7 sürümünden önce, internal/pki/resolver.go:36-64, ana anahtar aracılığıyla açtıktan sonra düz metin ed25519.PrivateKey ile bir CAManager oluşturur; internal/pki/ca.go:13-16 bunu saklar. internal/api/enroll.go:116, internal/api/updates.go:297 ve internal/api/mobile_bundle.go:40 adreslerindeki çağıranlar, yöneticiyi tek bir Sign() için kullanır ve fonksiyon dönüşünde referansı bırakır — ancak alttaki dilim içeriği serbest bırakılmadan önce silinmez. keystore paketinin sözleşmesi (internal/keystore/keystore.go belgesi: "Çağıranlar, döndürülen düz metin DEK'i artık gerekli olmadığı anda sıfırlamalıdır") CAManager tüketicisi tarafından karşılanmaz. Şifresi çözülmüş CA özel anahtarları, Go'nun GC'si alttaki dilimi temizleyene kadar süreç yığınında kalır — yük altında dakikalar ila saatler, boşta sunucularda süresiz olarak. Bu sorun 0.3.7 sürümünde yamalanmıştır.
Nasıl düzeltilir
- github.com/juev/nebula-mesh0.3.7 ya da sonraki bir sürüm
- github.com/forgekeep/nebula-mesh0.3.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/juev/nebula-meshGo | v < 0.3.7 | 0.3.7 |
| github.com/forgekeep/nebula-meshGo | v < 0.3.7 | 0.3.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.