PT-2026-60097 · Unknown · Nebula-Mesh
Publicado
2026-07-14
·
Atualizado
2026-07-15
·
CVE-2026-53604
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
nebula-mesh (versões afetadas não especificadas)
Descrição
O manipulador web
renderMobileBundle passa um *pki.CAResolver para a função mobilebundle.Build, que descriptografa a chave privada ed25519 da CA em um *pki.CAManager. No entanto, a função Build não chama CAManager.Wipe() em nenhum caminho de retorno, incluindo caminhos de sucesso e de erro. Isso resulta na permanência da chave privada da CA em texto simples no heap do Go até que a coleta de lixo (garbage collection) ocorra. Um invasor capaz de ler a memória do processo, como por meio de dumps de núcleo, arquivos de swap ou varredura de memória, poderia recuperar a chave de assinatura da CA e emitir certificados de host arbitrários para a malha.Recomendações
Adicione
defer caMgr.Wipe() dentro da função mobilebundle.Build imediatamente após a chamada LoadByID para garantir que a chave seja zerada em todos os caminhos de retorno.Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Nebula-Mesh