CVE-2025-55293
— 神龙十问 AI 深度分析摘要
CVSS 9.4 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Meshtastic 固件存在**授权问题**，攻击者可**绕过公钥验证**。
💥 **后果**：导致**密钥被恶意覆盖**，破坏设备身份认证完整性。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：**CWE-287** (身份验证改进不当)。
📍 **缺陷点**：公钥验证逻辑存在漏洞，未能正确校验密钥来源与权限。
Q3影响谁？（版本/组件）
📦 **厂商**：**Meshtastic**。
📱 **组件**：**Firmware (固件)**。
📅 **版本**：**2.6.3 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. **覆盖密钥**：篡改或替换合法公钥。
2. **权限提升**：绕过安全验证，可能接管设备控制权。
3. **数据泄露**：CVSS 评分显示 **C:H** (机密性高)，敏感数据面临风险。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**低**。
🔓 **认证**：**PR:N** (无需权限/无需认证)。
🌐 **攻击面**：**AV:N** (网络远程)。
👤 **交互**：**UI:N** (无需用户交互)。
✅ **结论**：极易利用，远程即可发起攻击。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **Exp/PoC**：漏洞数据中 **pocs 为空**。
🌍 **在野利用**：暂无明确在野利用报告。
⚠️ **注意**：虽无公开代码，但逻辑缺陷明确，理论利用难度低。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查固件版本是否 **< 2.6.3**。
2. 审查公钥验证逻辑代码。
3. 监控是否有异常的密钥更新或覆盖行为。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
🔗 **补丁链接**：
- Commit: `cf7f0f9d0895602df3453a4f5cfea843f4e09744`
- PR: [#6372](https://github.com/meshtastic/firmware/pull/6372)
- Advisory: [GHSA-95pq-gj5v-4fg2](https://github.com/meshtastic/firmwa…
Q9没补丁咋办？（临时规避）
⏸️ **临时规避**：
1. **立即升级**至 **2.6.3 或更高版本**。
2. 若无法升级，限制设备网络访问范围，隔离 LoRa 网络。
3. 定期审计公钥配置，防止未授权修改。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📊 **CVSS**：**7.5 (High)**。
💡 **建议**：由于无需认证且影响密钥安全，建议**立即更新固件**以消除风险。