CVE-2025-53627
Təsvir
Meshtastic açıq mənbəli mesh şəbəkə həllidir. Meshtastic proqram təminatı (versiya 2.5-dən başlayaraq) birbaşa mesajlar üçün asimmetrik şifrələməni (PKI) tətbiq edir, lakin `pki_encrypted` bayrağı olmadıqda, proqram təminatı səssizcə köhnə AES-256-CTR kanal şifrələməsinə geri dönür. Bu, geriyə uyğunluğu qorumaq üçün qəsdən verilmiş bir qərardır. Lakin Web tətbiqi, iOS/Android tətbiqləri və SDK istifadə edilərək Meshtastic əsasında qurulmuş tətbiqlər kimi son istifadəçi tətbiqlərində ucdan-uca şifrələnmiş DM-ləri köhnə DM-lərdən fərqləndirmək üsulu yox idi. Bu, ortaq kanal açarını bilən hücumçuların, sanki PKC ilə şifrələnmiş kimi görünən saxta birbaşa mesajlar hazırlamağa və yeritməyə imkan verən downgrade hücum yolunu yaradır. İstifadəçilərə birbaşa mesajın PKI ilə, yoxsa köhnə simmetrik şifrələmə ilə dekripsiya edildiyi barədə heç bir bildiriş verilmir ki, bu da PKI-nin tətbiqindən gözlənilən təhlükəsizlik zəmanətlərini zəiflədir. Versiya 2.7.15 bu problemi aradan qaldırır.
Necə düzəltmək olar
- meshtastic meshtastic_firmware2.7.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| meshtastic meshtastic_firmware | 2.5.0 ≤ v < 2.7.15 | 2.7.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.