Nebula API越权漏洞：跨租户权限提升与主机接管分析

漏洞概述 标题: API endpoints lack ownership checks, enabling cross-operator privilege escalation 描述: 路由表面信任 bearer token 进行授权。代码本身承认这一点， 指出：“API trusts the bearer token for authorization; per-CA ownership is enforced only in the Web layer.” Web UI 网关通过 对内部/网络/防火墙/移动捆绑和大多数 operator 端点进行状态路由。CA 管理端点在 中也有 网关。 漏洞在于主机、网络、防火墙、移动捆绑和大多数 operator 端点。结合 per-operator CA 模型从 ADR 0002，这给任何非管理员 operator API 键提供了跨租户访问——最坏情况下即时权限提升。 影响范围 受影响版本: 所有发布版本至 v0.3.0 未修复版本: 无 利用链 A) 从任何 operator 键生成管理员 API 键（即时权限提升） 复用返回的键进行后续请求——完全管理员权限。 B) 跨 operator 主机接管通过 reenroll 调用 POSTs 使用自己的 X5019 + Ed25519 密钥对。 覆盖 。 覆盖证书。合法代理的重新签名证书失败 。攻击者现在拥有受害者的 Nebula 身份。 C) 跨租户 CRUD 在主机、网络、防火墙 相同的漏洞适用于： — 创建、列表、获取、更新、删除、阻止、取消阻止 — 创建、列表、获取 — 获取、PUT （已在公共问题 #219 中提交） 所有其他 bearer-auth 端点。任何 operator 可以读取或破坏任何其他 operator 的资源。 受影响的 operator 管理处理程序（除 A 外） 除了 （被 A 覆盖）， 缺少管理员网关： （第 66 行）— operator 列表信息泄露 （第 79 行）— DoS / 破坏 （第 94 行）— 重新启用禁用的 operator （第 157 行）— 无效化任何 operator 的 API 键 （第 173 行）— API 键元数据泄露 （第 26 行）已正确限制（actorIsAdmin 在第 27 行） 不受影响（已验证） 正确限制了每个 CA 端点通过 （调用在第 70、176、216 行）和管理员快捷方式在第 39、82 行。早期描述草稿错误地将 列为受影响——该端点受到适当保护。CA 不在此范围内。 影响 任何非管理员 operator — 通过一个 curl 成为管理员（A） 任何非管理员 operator — 拥有任何受害主机的所有权，并拥有证书 + 身份标识（B） 大规模跨租户 CRUD 包括防火墙规则修改（C） 任何 operator — 禁用/启用其他 operator，撤销他们的 API 键，枚举 operator 列表 CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — 9.6 建议修复 在 中共享助手，模仿 Web 层的 ： 每个加载资源，通过 CA 解析它： 接受 或 actor 拥有 CA。拒绝 403 Forbidden；审计日志 与原因。 operator 管理端点采用 ；相反（operator 所有权不映射到 CA 所有权）。 在每个主机、网络、防火墙、移动捆绑触达 API 处理程序顶部应用，加上上面列出的 5 个 operator 端点。遗留 config-key 路径保留管理员（保持向后兼容性），更广泛的遗留/防火墙问题单独跟踪为问题 #212。 测试矩阵 admin — 所有操作允许 拥有非 admin — 在拥有的主机/网络上操作允许 非拥有非 admin — 403 + 审计日志 遗留 config-key — 保留（管理员） 未认证 — 来自中间件的现有 401 协调背景 涵盖公共问题 #219（移动捆绑 authz）。问题 #221（actor-go 40 遗留管理员回退）是一个单独的问题，独立跟踪。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Nebula API越权漏洞：跨租户权限提升与主机接管分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Nebula API越权漏洞：跨租户权限提升与主机接管分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！