Vulnerabilidad en Meshtastic (CVE-2025-52464)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-331 Entropía insuficiente

Fecha de publicación:

19/06/2025

Última modificación:

23/06/2025

Descripción

Meshtastic es una solución de red en malla de código abierto. En versiones desde la 2.5.0 hasta la 2.6.11, el proceso de flasheo de varios proveedores de hardware generaba claves públicas y privadas duplicadas. Además, Meshtastic no inicializaba correctamente el pool de aleatoriedad interno en algunas plataformas, lo que podía provocar la generación de claves de baja entropía. Cuando los usuarios con un par de claves afectado enviaban mensajes directos, estos podían ser capturados y descifrados por un atacante que hubiera compilado la lista de claves comprometidas. Este problema se ha corregido en la versión 2.6.11, donde la generación de claves se retrasa hasta la primera configuración de la región LoRa, además de advertir a los usuarios cuando se detecta una clave comprometida. La versión 2.6.12 amplía esta corrección borrando automáticamente las claves comprometidas conocidas. Una solución alternativa a esta vulnerabilidad consiste en que los usuarios realicen un borrado completo del dispositivo para eliminar las claves clonadas por el proveedor.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:L/SI:L/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.50 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:L/SI:L/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Bajo
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Alto

Puntuación base 4.0

9.50

Gravedad 4.0

CRÍTICA

Vulnerabilidad en Meshtastic (CVE-2025-52464)

Descripción

Impacto

Referencias a soluciones, herramientas e información