注目★★★★★GitHub Advisory
nebula-mesh v0.3.0以下、セキュリティヘッダー未設定の脆弱性 CVE-2026-47723
30秒で把握
- 1nebula-mesh v0.3.0以下でCSP等セキュリティヘッダーが全未設定
- 2管理UIのクリックジャッキング・MIMEスニッフィング・TLSダウングレードが攻撃経路に
- 3修正はchiルーターへのミドルウェア追加で対応・正式パッチ待ちの間はプロキシで緩和
要約
nebula-meshのWeb UIおよびAPIレスポンス全般で、CSP・X-Frame-Options・HSTS等のブラウザセキュリティヘッダーが一切設定されていない脆弱性（CVE-2026-47723）が公開された。X-Frame-Optionsの欠如により管理者が操作する `/ui/operators/*` や `/ui/cas/*` に対するクリックジャッキング攻撃が成立し得る。CA証明書の署名やAPIキーの発行・TOTP QRコード表示など機密操作を行う管理UIが対象であるため、影響範囲は広い。v0.3.0以下の全バージョンが影響を受け、修正はchiルーターにセキュリティヘッダーミドルウェアを追加することで対応可能。
あなたへの影響
nebula-meshの管理UIを運用しているチームはv0.3.0以下が対象のため、修正版リリースまでの間はリバースプロキシ側でCSP・X-Frame-Options・HSTSを付与する暫定対応を検討してほしい。
推奨：外部からの直接アクセスを遮断しVPN等でアクセスを限定することも有効な緩和策になり得る。