Meshtastic CVE-2025-52464 إثبات المفهوم

نظرة عامة

هذا المشروع هو إثبات مفهوم برمجي بحت يوضح CVE-2025-52464، وهي ثغرة أمنية تؤثر على إصدارات البرنامج الثابت Meshtastic من 2.5.0 إلى 2.6.10.

يعيد هذا التنفيذ إنتاج السلوك التشفيري للبرنامج الثابت المُعرَّض للثغرة ويوضح كيف يمكن للمفاتيح التشفيرية المكررة أو منخفضة الإنتروبيا أن تسمح للمهاجم بفك تشفير الرسائل المباشرة (DMs) المشفرة. كما يوضح السلوك المُصحَّح الذي طُرح في إصدار البرنامج الثابت 2.6.11، حيث يمنع توليد المفاتيح السليم واكتشاف المفاتيح منخفضة الإنتروبيا الهجوم.

هيكل المشروع

crypto_engine.py          Cryptographic operations (X25519, HKDF, AES-GCM)
node.py                   Simulated Meshtastic node
packet.py                 Encrypted Direct Message packet
attacker.py               Passive attacker simulation
security_checker.py       Low-entropy public key detection
compromised_keys.py       Database of compromised public keys
simulation.py             Coordinates the complete simulation
demo.py                   Runs the vulnerable and patched demonstrations

test_node.py
test_packet.py
test_vulnerable_key.py
test_attacker_decrypt.py
test_fixed_case.py

المتطلبات

• Python 3.11 أو أحدث
• cryptography

التثبيت

إنشاء بيئة افتراضية (اختياري):

python -m venv venv

قم بتفعيلها.

في Windows:

venv\Scripts\activate

ثبّت الحزمة المطلوبة:

pip install -r requirements.txt

تشغيل العرض التوضيحي

نفّذ:

python demo.py

ينفذ العرض التوضيحي تجربتين:

1. البرنامج الثابت المُعرَّض للثغرة

   • تستخدم أليس مفتاحًا خاصًا منخفض الإنتروبيا ومكررًا.
   • يفك بوب تشفير الرسالة بنجاح.
   • تتمكن مالوري (المهاجمة) أيضًا من فك تشفير الرسالة المعترَضة.
   • ينجح الهجوم.

2. البرنامج الثابت المُصحَّح

   • تولّد جميع الأجهزة مفاتيح تشفيرية فريدة.
   • يفك بوب تشفير الرسالة بنجاح.
   • لا تتمكن مالوري (المهاجمة) من فك تشفير الرسالة المعترَضة.
   • يفشل الهجوم.

تشغيل الاختبارات الفردية

يمكن تنفيذ البرامج النصية التالية بشكل مستقل:

python test_node.py
python test_packet.py
python test_vulnerable_key.py
python test_attacker_decrypt.py
python test_fixed_case.py

السياق الأكاديمي وإخلاء المسؤولية

طُوِّر هذا المشروع كمشروع إضافي لمقرر أمن الشبكات الذي يقدمه مختبر الشبكات المتنقلة الآمنة (SEEMOO) في جامعة دارمشتات التقنية خلال الفصل الدراسي الصيفي 2026.

وهو مخصص للأغراض التعليمية والبحثية فقط. يقدم هذا التنفيذ إثبات مفهوم برمجيًا بحتًا لـ CVE-2025-52464 من خلال محاكاة سير العمل التشفيري المسؤول عن الثغرة. وهو لا ينفذ البرنامج الثابت الكامل لـ Meshtastic، ولا الطبقة المادية LoRa، ولا حزمة اتصالات Meshtastic الكاملة.

يهدف هذا المشروع إلى دعم دراسة وفهم التوليد الآمن للمفاتيح والثغرات التشفيرية، ولا يجوز استخدامه في أنشطة غير مصرح بها أو ضارة.

المؤلف

Masoud Mehdipour

تحدي أمن الشبكات الإضافي

مختبر الشبكات المتنقلة الآمنة

TU Darmstadt