CVE-2025-53627
Açıklama
Meshtastic açık kaynaklı bir mesh ağ çözümüdür. Meshtastic aygıt yazılımı (sürüm 2.5'ten itibaren), doğrudan mesajlar için asimetrik şifreleme (PKI) sunmaktadır; ancak `pki_encrypted` bayrağı eksik olduğunda, aygıt yazılımı sessizce eski AES-256-CTR kanal şifrelemesine geri dönmektedir. Bu, geriye dönük uyumluluğu korumak için alınmış kasıtlı bir karardır. Bununla birlikte, Web uygulaması, iOS/Android uygulaması ve SDK kullanılarak Meshtastic üzerine inşa edilen uygulamalar gibi son kullanıcı uygulamalarının, uçtan uca şifrelenmiş DM'ler ile eski DM'leri ayırt etme imkanı bulunmamaktaydı. Bu durum, paylaşılan bir kanal anahtarını bilen saldırganların, sanki PKC ile şifrelenmiş gibi görüntülenecek sahte doğrudan mesajlar oluşturup enjekte edebileceği bir sürüm düşürme saldırısı yolu oluşturmaktadır. Kullanıcılara, bir doğrudan mesajın PKI ile mi yoksa eski simetrik şifreleme ile mi çözüldüğüne dair herhangi bir geri bildirim verilmemekte, bu da PKI dağıtımının beklenen güvenlik garantilerini zayıflatmaktadır. Sürüm 2.7.15 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- meshtastic meshtastic_firmware2.7.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| meshtastic meshtastic_firmware | 2.5.0 ≤ v < 2.7.15 | 2.7.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.