CVE-2025-52464
Meshtastic Coppie di chiavi pubbliche e private ripetute
- Pubblicato
- 19 giu 2025
- Aggiornato
- 23 giu 2025
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 7 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:L/SI:L/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 46,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Meshtastic è una soluzione di rete mesh open source. Nelle versioni dalla 2.5.0 alla precedente 2.6.11, la procedura di flashing di diversi vendor hardware generava chiavi pubbliche/private duplicate. Inoltre, Meshtastic non riusciva a inizializzare correttamente il pool di casualità interno su alcune piattaforme, portando a una possibile generazione di chiavi a bassa entropia. Quando gli utenti con una coppia di chiavi compromessa inviavano Messaggi Diretti, questi potevano essere catturati e decriptati da un attaccante che aveva compilato l'elenco delle chiavi compromesse. Questo problema è stato corretto nella versione 2.6.11, dove la generazione delle chiavi viene ritardata fino al primo momento in cui viene impostata la regione LoRa, insieme all'avviso agli utenti quando viene rilevata una chiave compromessa. La versione 2.6.12 estende questa correzione cancellando automaticamente le chiavi note come compromesse quando vengono trovate. Una soluzione alternativa a questa vulnerabilità prevede che gli utenti eseguano una cancellazione completa del dispositivo per rimuovere le chiavi clonate dal vendor.
Fonti
Prova di concetto solo software per CVE-2025-52464 nei Messaggi diretti di Meshtastic
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.