Nebula – Blocklist Bypass bei P256-Zertifikaten

Beschreibung

Im skalierbaren Overlay-Netzwerktool Nebula (Versionen 1.7.0 bis 1.10.2) ist es bei Verwendung von P256-Zertifikaten (nicht die Standardkonfiguration) möglich, einen Blocklist-Eintrag zu umgehen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Slack

• nebula-mesh: Autorisierung allein über Bearer-Token auf /api/v1/* (Slack Nebula) CVE-2026-47724
• Nebula Mesh: Fehlende CA-Scoping-Prüfung in der Web-UI (/ui/*) CVE-2026-49258
• badlogic pi-mono: Schwachstelle im pi-mom Slack Bot (slack.ts) CVE-2026-5557
• nebula-mesh: Operator-API-Key wird über Redirect-URL offengelegt CVE-2026-47768
• Red Hat Quay – SSRF über Notification-Webhooks CVE-2026-16910
• nebula-mesh: Schwachstelle bei Schreibrouten unter /ui/* CVE-2026-47725