CVE-2026-61699
Açıklama
nebula-mesh, Slack Nebula mesh VPN için self-hosted bir kontrol düzlemidir. Versiyon 0.7.1 öncesinde, iptal işlemi (revocation), ele geçirilmiş veya sistemden çıkarılmış bir ana bilgisayarı Nebula mesh ağından izole eden tek bant içi mekanizmadır. Engelleme listesi hiçbir eşin config.yml dosyasına ulaşmadığı için, engellenmiş bir ana bilgisayar kendi CA'si altındaki her eşe (ve mesh üzerindeki dahili servislere) karşı 30 güne kadar (agent) / 365 güne kadar (mobil) tam overlay erişilebilirliğini korur. host.key ve host.crt dosyalarını sızdıran bir saldırgan, doğrudan standart slackhq/nebula çalıştırabilir, agent'ın 403/410 sorgu yanıtlarını görmezden gelebilir ve operatör ana bilgisayarı iptal ettikten sonra da bağlı kalmaya devam edebilir. Operatör tarafından görülebilen durum (UI engellendi olarak gösterir, denetim günlüğü bunu kaydeder) yanıltıcıdır. Bu sorun versiyon 0.7.1 ile düzeltilmiştir.
Nasıl düzeltilir
- github.com/forgekeep/nebula-mesh0.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/forgekeep/nebula-meshGo | v < 0.7.1 | 0.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.