Nebula Mesh/Agent 安全审计：密钥管理、租户隔离与 TLS 加固

漏洞概述 问题类型：安全审计（Security audit）——对 和 进行全量代码审查与攻击面评估。 核心目标： 1. 密钥管理：恢复 CA 私有密钥或主密钥（ ）。 2. 主机管理接管：读取、修改或吊销证书或防火墙规则。 3. 租户隔离：获取签名主机证书或读取其他租户的密钥。 4. 租户隔离破坏：从非管理员角色逃逸到所有操作者（CAS 和主机）。 影响范围 受影响组件： （管理 API、UI、agent、enrolled、OIDC、CLI 配置）、 。 攻击面： - 每个包（auth、api、keystore、api、store、web、agent、enrolled、OIDC、CLI 配置）。 - 路由和中间件（auth、密钥、api、store、web、agent、enrolled、OIDC、CLI 配置）。 - 资源处理（auth、密钥、api、store、web、agent、enrolled、OIDC、CLI 配置）。 - 对本地实例的攻击面测试：auth 路径、token 路由、OIDC 认证、证书签发、错误处理。 - 工具基线：go-vulncheck、gosec、golangci-lint、生成式模糊测试（ADR 0009）。 修复方案 已确认的修复： - 加固：默认启用 TLS（除非显式指定 或 ）。 - 加固：强制 TLS 以防止用户名枚举（#180）。 - 加固：在 错误路径中零化加密的 CA 密钥材料。 - 加固：限制请求体大小上限 + HTTP 服务器超时（#105）。 - 加固：绑定主机名和 Groups 长度（#106）。 - 加固：gate（debuggers）+ 指标和停止/就绪监听内部服务器（#187）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固：拒绝可路由地址上的平面 HTTP（#179）。 - 加固

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Nebula Mesh/Agent 安全审计：密钥管理、租户隔离与 TLS 加固

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Nebula Mesh/Agent 安全审计：密钥管理、租户隔离与 TLS 加固

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！