CVE-2026-53602

Nome do Software Vulnerável e Versões Afetadas nebula-mesh versões 0.3.6 e anteriores

Description Duas falhas de autorização no nebula-mgmt permitem que hosts não confiáveis obtenham certificados válidos. Primeiro, o sistema não aplica a lista de bloqueio (blocklist) durante a emissão ou renovação do certificado. Como a lista de bloqueio é baseada na impressão digital (fingerprint) do certificado, um host que se reinscreve recebe uma nova impressão digital que ignora as verificações de bloqueio existentes. Além disso, a função mintEnrollmentTokenForHost() não verifica o status do host, permitindo que um host bloqueado retorne ao estado inscrito. Segundo, o processo de renovação automática não revalida o status do operador proprietário ou da Autoridade Certificadora (CA). Consequentemente, hosts provisionados por um operador desativado podem continuar renovando certificados indefinidamente, pois o sistema verifica apenas a expiração temporal, e não o status do operador ou da CA.

Recommendations Implementar uma guarda de status e de lista de bloqueio dentro de handleEnroll e signHostCert para recusar a emissão de certificados para hosts com status bloqueado ou cuja impressão digital esteja na lista de bloqueio, exigindo um desbloqueio explícito antes da reinscrição. Revalidar o status do operador e da CA proprietários durante o processo de renovação e rejeitar renovações se o operador estiver desativado ou a CA estiver aposentada. Como medida de mitigação temporária, restringir o uso da função mintEnrollmentTokenForHost() para hosts que foram previamente bloqueados.