CVE-2025-53627
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Meshtastic to otwarte rozwiązanie do sieci mesh. Od wersji 2.5 firmware wprowadza szyfrowanie asymetryczne (PKI) dla wiadomości bezpośrednich, ale gdy brak flagi `pki_encrypted`, firmware po cichu wraca do starszego szyfrowania kanału AES-256-CTR. Aplikacje końcowe (Web, iOS/Android, SDK) nie potrafiły odróżnić wiadomości szyfrowanych end-to-end od starszych, co tworzy ścieżkę ataku downgrade — przeciwnik znający współdzielony klucz kanału może wstrzyknąć sfałszowane wiadomości bezpośrednie wyświetlane jako szyfrowane PKI. Wersja 2.7.15 naprawia ten problem.
Ocena ryzyka
Atakujący znający współdzielony klucz kanału może podszyć się pod inne osoby i wstrzyknąć fałszywe wiadomości bezpośrednie, które użytkownik uzna za bezpiecznie zaszyfrowane. Podważa to zaufanie do komunikacji i może prowadzić do dezinformacji lub wyłudzenia informacji.
Rekomendacja
Zaktualizuj firmware Meshtastic do wersji 2.7.15 lub nowszej oraz zaktualizuj aplikacje klienckie (Web, iOS/Android, SDK) do wersji obsługujących rozróżnianie typów szyfrowania. Po aktualizacji zweryfikuj, czy interfejs użytkownika wyraźnie wskazuje tryb szyfrowania wiadomości.
Inne podatności w Meshtastic
Zobacz wszystkie- CVE-2026-44359Krytyczne
Repozytorium GitHub Meshtastic przed wersją 2.7.21.1370b23 ma podatność w workflow main_matrix.yml, który jest wyzwalany przez pull_request_target. Wiele zadań sprawdza kod atakującego z forka i wykonuje go z dostępem do sekretów repozytorium oraz podwyższonymi uprawnieniami GITHUB_TOKEN. Nie ma bramki zatwierdzającej. Pull requesty od zewnętrznych użytkowników z author_association: "NONE" automatycznie uruchamiały CI. Workflow bezpośrednio wykonuje pliki kontrolowane przez atakującego z forka. Problem ten mógł prowadzić do kompromitacji łańcucha dostaw, przejęcia runnerów lub repozytorium. Poprawka w wersji 2.7.21.1370b23.
- CVE-2026-42566Wysokie
W systemie Meshtastic przed wersją 2.7.23.b246bcd wykryto podatność, w której pojedynczy węzeł reklamujący nazwę User.long_name z nieprawidłowym kodowaniem znaków może uniemożliwić korzystanie z innych radiotelefonów przez aplikację iOS przez BLE. Problem wynika z przypadkowego umieszczenia znaku null w środku sekwencji wielobajtowej podczas przycinania bufora, co prowadzi do zatrucia bazy danych węzłów.
Oryginalny opis (angielski, źródło NVD)
Meshtastic is an open source mesh networking solution. The Meshtastic firmware (starting from version 2.5) introduces asymmetric encryption (PKI) for direct messages, but when the `pki_encrypted` flag is missing, the firmware silently falls back to legacy AES-256-CTR channel encryption. This was an intentional decision to maintain backwards compatibility. However, the end-user applications, like Web app, iOS/Android app, and applications built on top of Meshtastic using the SDK, did not have a way to differentiate between end-to-end encrypted DMs and the legacy DMs. This creates a downgrade attack path where adversaries who know a shared channel key can craft and inject spoofed direct messages that are displayed as if they were PKC encrypted. Users are not given any feedback of whether a direct message was decrypted with PKI or with legacy symmetric encryption, undermining the expected security guarantees of the PKI rollout. Version 2.7.15 fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS