JVNDB-2026-028995

meshtasticのMeshtastic Firmwareにおける入力確認に関する脆弱性

Meshtasticはオープンソースのメッシュネットワーキングソリューションです。バージョン2.7.23.b246bcd以前では、User.long_nameに不正な文字エンコーディングを含む単一のノードが広告されると、iOSアプリを介して管理される場合にBLE経由で他のラジオが使用不能になる可能性があります。不正な名前は悪意を持って作成される必要はなく、通常のバッファ切り詰めによって発生し得るものであり、自然発生も確認されています。少なくとも一つのコード経路では、マルチバイトシーケンスの途中にヌル終端文字を配置し、ノードデータベースに不正なUser.long_nameが残る可能性があります。この問題は下流で明らかになり、iOSアプリがエンコーディング検証を強制しているため、毒されたエントリを含むノードデータベースを解析できなくなります。これにより、BLE同期が失敗し再試行のループに入り、影響を受けたデバイスの制御を失うことになります。通常、iOSアプリでラジオを管理するユーザーにとっては、毒されたノードがデバイス内データベースから消えるまで、またはPython CLIなどの代替管理手段を使って該当のエントリを手動で特定し削除しない限り、デバイスは実質的に使用できなくなります。不正な名前はメッシュ全体に伝播するため、一つの影響を受けたノードが一時的に存在するだけで、広範囲にわたりiOSユーザーのBLE管理性能を長期間低下させる可能性があります。技術に詳しくないユーザーには明確な回復手順がありません。バージョン2.7.23.b246bcd以降では、ファームウェアに入力のサニタイズ処理と、既に毒されたデバイスの回復を示す回帰テストが追加されています。アプリ側でも、不正なエンコーディングシーケンスをより優雅に処理するための対策が講じられています。

meshtastic

• Meshtastic Firmware 2.7.22 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Malformed encoding in User.long_name broadcast over LoRa causes client decode failure  Advisory  meshtastic/firmware  GitHub

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-42566

1. National Vulnerability Database (NVD) : CVE-2026-42566
2. 関連文書 : Sane sanitization  meshtastic/firmware@2cc13a1  GitHub

• [2026年08月20日]
    掲載