CVE-2026-53604

nebula-mesh, Slack Nebula mesh VPN için self-hosted bir kontrol düzlemidir. Versiyon 0.3.8 öncesinde, web işleyicisi renderMobileBundle, gerçek *pki.CAResolver nesnesini doğrudan mobilebundle.Build fonksiyonuna iletir. Build içerisinde, resolver.LoadByID, CA'nın ed25519 özel anahtarını bir *pki.CAManager nesnesi olarak çözer ancak Build, hiçbir dönüş yolunda CAManager.Wipe() fonksiyonunu çağırmaz. Sonuç olarak, bir mobil paket isteği web kullanıcı arayüzü üzerinden geçtiğinde ve Build geri döndüğünde —özellikle hata durumlarında (eksik ağ, geçersiz önek, DB hatası, imzalama başarısızlığı)— açık metin halindeki CA özel anahtarı, çöp toplama (garbage collection) işlemi gerçekleşene kadar temizlenmeden Go yığınında (heap) kalır. Süreç belleğini okuyabilen bir saldırgan (core dump, swap, bellek kazıma), mesh için rastgele ana bilgisayar sertifikaları oluşturulmasına izin verecek olan CA imzalama anahtarını kurtarabilir. API işleyicisi bunu zaten doğru şekilde yapmaktadır: CAManager'ı yükler, defer caMgr.Wipe() kullanır ve bunu caManagerResolver içine sarar. Yalnızca web yolu etkilenmiştir. Bu sorun versiyon 0.3.8 ile yamalanmıştır.