CVE-2025-24797

RCE przez buffer overflow w obsłudze pakietów protobuf w Meshtastic Firmware

CVSS 9.4v3.1pub. 2025-04-15upd. 2025-10-03

Błąd w obsłudze pakietów mesh zawierających nieprawidłowe dane protobuf umożliwia atakującemu przepełnienie bufora (buffer overflow) i przejęcie kontroli nad przepływem wykonania programu. Podatność pozwala na zdalne wykonanie kodu (RCE) bez uwierzytelniania i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Meshtastic is an open source mesh networking solution. A fault in the handling of mesh packets containing invalid protobuf data can result in an attacker-controlled buffer overflow, allowing an attacker to hijack execution flow, potentially resulting in remote code execution. This attack does not require authentication or user interaction, as long as the target device rebroadcasts packets on the default channel. This vulnerability fixed in 2.6.2.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowany pakiet mesh zawierający nieprawidłowe dane w formacie protobuf. Błąd w parsowaniu takich danych prowadzi do buffer overflow na stercie (heap), nad którym atakujący ma kontrolę. Dzięki temu możliwe jest nadpisanie krytycznych struktur pamięci i przejęcie przepływu wykonania aplikacji. Atak jest możliwy, o ile urządzenie docelowe retransmituje pakiety na domyślnym kanale sieci mesh.

Skutki

Atakujący może zdalnie wykonać dowolny kod na urządzeniu ofiary (RCE) oraz uzyskać nieuprawniony dostęp do danych lub zakłócić działanie urządzenia, co odpowiada wysokiemu wpływowi na poufność i dostępność systemu.

Mitygacja

Należy zaktualizować Meshtastic Firmware do wersji 2.6.2 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w referencjach producenta: https://github.com/meshtastic/firmware/security/advisories/GHSA-33hw-xhfh-944r

Kogo dotyczy

Meshtastic Firmware w wersjach przed 2.6.2, działający na urządzeniach retransmitujących pakiety na domyślnym kanale sieci mesh.

Uwagi

Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika — wystarczy, że urządzenie docelowe retransmituje pakiety na domyślnym kanale sieci mesh, co czyni ją szczególnie groźną w domyślnych konfiguracjach wdrożeń Meshtastic.