CVE-2026-47724
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- —
- CWE
- CWE-862
- KEV Durumu
- Hayır
Yayım tarihi: 23 Temmuz 2026
nebula-mesh, Slack Nebula mesh sanal özel ağ için kendi sunucunuzda barındırılan bir kontrol düzlemidir. 0.3.4 sürümünden önceki sürümlerde, `/api/v1/*` rotası çoğu uç nokta için yetkilendirme amacıyla yalnızca taşıyıcı belirteci güvenmektedir. Kod tabanı itself `internal/api/hosts.go:384` adresinde bunu kabul etmektedir: "API, yetkilendirme için taşıyıcı belirteci güvenmektedir; her-CA sahipliği yalnızca Web katmanında uygulanmaktadır." Web UI, durum değiştiren rotaları `loadAccessibleCA` aracılığıyla (`internal/web/cas.go`) sınırlamaktadır; `internal/api/cas.go` adresindeki CA yönetim uç noktaları da uygun `canAccessCA` güvenlik kontrollerine sahiptir. Açıklık, host, ağ, güvenlik duvarı, mobil demet ve çoğu operatör uç noktalarında bulunmaktadır. ADR 0002'den operatör başına CA modeli ile birlikte, bu, herhangi bir yönetici olmayan operatör API anahtarına geniş çaplı çok kiracılı erişim sağlar — en kötü durumda anında ayrıcalık yükselmesi sağlar. Sürüm 0.3.4 bu sorunu çözmektedir.
Orijinal açıklama (İngilizce)
nebula-mesh is a self-hosted control plane for Slack Nebula mesh virtual private network. Prior to version 0.3.4, the `/api/v1/*` route surface trusts the bearer token alone for authorisation on most endpoints. The codebase itself admits this at `internal/api/hosts.go:384`: "API trusts the bearer token for authorisation; per-CA ownership is enforced only in the Web layer." The Web UI gates state-changing routes through `loadAccessibleCA` (`internal/web/cas.go`); CA-management endpoints in `internal/api/cas.go` ALSO have proper `canAccessCA` gates. The gap is on the host, network, firewall, mobile-bundle, and most operator endpoints. Combined with the per-operator CA model from ADR 0002, this gives any non-admin operator API key broad cross-tenant access — instant privilege escalation in the worst case. Version 0.3.4 fixes the issue.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.