CVE-2026-53602

nebula-mesh, Slack Nebula mesh VPN için self-hosted bir kontrol düzlemidir. Versiyon 0.3.7 öncesinde, iki ilgili yetkilendirme boşluğu, artık güvenilmemesi gereken bir ana bilgisayarın yeni ve geçerli bir Nebula sertifikası almasına izin vermektedir; çünkü nebula-mgmt, iptal/yetkilendirme durumunu sertifika düzenleme sırasında değil, yalnızca sorgulama (poll) sırasında yeniden değerlendirmektedir. İlk olarak, engelleme listesi imzalama / yeniden kayıt zamanında uygulanmamaktadır. internal/api/enroll.go:128, engelleme listesine danışmadan caMgr.Sign(...) fonksiyonunu çağırır. Engelleme listesi yalnızca sorgulama yolunda (internal/api/updates.go:57, fingerprintInBlocklist) kontrol edilir. Engelleme listesi sertifika parmak izine göre anahtarlanmıştır (internal/store/sqlite.go), bu nedenle yeniden kayıt işlemi engelleme listesinde bulunmayan yeni bir parmak izi üretir. İkinci olarak, yenileme işlemi operatör / CA durumunu yeniden doğrulamamaktadır. Sorgulama sırasındaki otomatik yenileme (internal/api/updates.go:285-319, signHostCert), veritabanından host.Name, host.Groups, host.NebulaIPs bilgilerini okur ve sahibi olan operatörün hala aktif olup olmadığını veya CA'nın hala geçerli olup olmadığını kontrol etmeden yeniden imzalar. DisableOperator (internal/store/sqlite_operators.go) oturumları ve API anahtarlarını iptal eder ancak operatörün CA'larını emekliye ayırmaz ve pki/signer.go yalnızca CA sertifika süre dolumunu kontrol eder, operatör/CA durumunu kontrol etmez. Bu sorun versiyon 0.3.7 ile yamalanmıştır.