CVE-2025-52464

概要

Meshtasticは、オープンソースのメッシュネットワーキングソリューションです。バージョン2.5.0から2.6.11より前のバージョンにおいて、いくつかのハードウェアベンダーのフラッシュ手順が公開鍵/秘密鍵の重複を引き起こしていました。さらに、Meshtasticは一部のプラットフォームで内部のランダム性プールを適切に初期化できず、低エントロピーでの鍵生成が発生する可能性がありました。影響を受ける鍵ペアを持つユーザーがダイレクトメッセージを送信した場合、そのメッセージは、侵害された鍵のリストを収集した攻撃者によって傍受され、復号される可能性がありました。この問題はバージョン2.6.11で修正され、鍵生成がLoRaリージョンが初めて設定されるまで延期されるとともに、侵害された鍵が検出された際にユーザーへ警告が行われるようになりました。バージョン2.6.12では、既知の侵害された鍵が検出された際に自動的に消去することで、この修正をさらに強化しています。この脆弱性に対する回避策として、ユーザーはデバイスを完全にワイプして、ベンダーが複製した鍵を削除することが挙げられます。

• meshtastic-cve-2025-52464-pocPoC

  Meshtastic ダイレクトメッセージにおける CVE-2025-52464 のソフトウェアのみの概念実証