Podatności Meshtastic

Repozytorium GitHub Meshtastic przed wersją 2.7.21.1370b23 ma podatność w workflow main_matrix.yml, który jest wyzwalany przez pull_request_target. Wiele zadań sprawdza kod atakującego z forka i wykonuje go z dostępem do sekretów repozytorium oraz podwyższonymi uprawnieniami GITHUB_TOKEN. Nie ma bramki zatwierdzającej. Pull requesty od zewnętrznych użytkowników z author_association: "NONE" automatycznie uruchamiały CI. Workflow bezpośrednio wykonuje pliki kontrolowane przez atakującego z forka. Problem ten mógł prowadzić do kompromitacji łańcucha dostaw, przejęcia runnerów lub repozytorium. Poprawka w wersji 2.7.21.1370b23.

W systemie Meshtastic przed wersją 2.7.23.b246bcd wykryto podatność, w której pojedynczy węzeł reklamujący nazwę User.long_name z nieprawidłowym kodowaniem znaków może uniemożliwić korzystanie z innych radiotelefonów przez aplikację iOS przez BLE. Problem wynika z przypadkowego umieszczenia znaku null w środku sekwencji wielobajtowej podczas przycinania bufora, co prowadzi do zatrucia bazy danych węzłów.

Meshtastic to otwarte rozwiązanie do sieci mesh. Od wersji 2.5 firmware wprowadza szyfrowanie asymetryczne (PKI) dla wiadomości bezpośrednich, ale gdy brak flagi `pki_encrypted`, firmware po cichu wraca do starszego szyfrowania kanału AES-256-CTR. Aplikacje końcowe (Web, iOS/Android, SDK) nie potrafiły odróżnić wiadomości szyfrowanych end-to-end od starszych, co tworzy ścieżkę ataku downgrade — przeciwnik znający współdzielony klucz kanału może wstrzyknąć sfałszowane wiadomości bezpośrednie wyświetlane jako szyfrowane PKI. Wersja 2.7.15 naprawia ten problem.