🇰🇷 한글 설명
nebula-mesh는 Slack Nebula 메시 가상 사설망을 위한 자체 호스팅 제어 플레인입니다. 0.3.2 이전 버전의 internal/api/audit.go:12에 있는 handleGetAuditLog 핸들러는 관리자 권한 검사를 하지 않아, 베어러 인증만 통과하면 어떤 운영자 API 키로도 전체 감사 로그를 조회할 수 있습니다. 이로 인해 테넌트 간 행위자 이름, 호스트/CA/운영자 ID, 타임스탬프 등이 노출될 수 있습니다.
💡 쉬운 설명
일반 운영자 권한만 있어도 서버의 전체 활동 기록을 볼 수 있는 문제입니다. 다른 고객의 활동 정보까지 노출되어 공격자가 중요한 대상을 파악하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
nebula-mesh is a self-hosted control plane for Slack Nebula mesh virtual private network. Prior to version 0.3.2, internal/api/audit.go:12 — handleGetAuditLog does no admin check. The route is bearer-auth gated only; any operator API key returns the full audit log via store.ListAuditEntries (up to limit=1000). This includes cross-tenant actor names, host/CA/operator IDs, action timestamps, and masked-IP entries from rate-limit refusals — enough surface for a tenant to enumerate the server's activity, infer staffing patterns, or identify high-value targets. This issue has been patched in version 0.3.2.
📍 영향받는 시스템
nebula-mesh 0.3.2 이전 버전
⚔️ 공격 벡터
유효한 운영자 API 키로 감사 로그 엔드포인트를 호출하여 교차 테넌트 활동 기록을 조회
🛡️ 대응 방법
nebula-mesh를 0.3.2 이상으로 업그레이드하고 감사 로그 조회에 관리자 권한 검사가 적용되었는지 확인
🔧 검증 코드
출력된 버전이 0.3.2 미만이면 취약하고, 0.3.2 이상이거나 'not installed'이면 해당 환경에서는 영향이 없거나 설치되어 있지 않습니다.
nebula-mesh --version 2>/dev/null || (cd "$(dirname $(which nebula-mesh 2>/dev/null))" 2>/dev/null && ./nebula-mesh version 2>/dev/null) || echo 'not installed'