Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2024-51500

Failure to check for packets from the broadcast address allows potential DDoS amplification attack in Meshtastic firmware

Публикация: 05.11.2024·Обновлена: 05.11.2024, 19:49·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Meshtastic firmware is a device firmware for the Meshtastic project. The Meshtastic firmware does not check for packets claiming to be from the special broadcast address (0xFFFFFFFF) which could result in unexpected behavior and potential for DDoS attacks on the network. A malicious actor could craft a packet to be from that address which would result in an amplification of this one message into every node on the network sending multiple messages. Such an attack could result in degraded network performance for all users as the available bandwidth is consumed. This issue has been addressed in release version 2.5.6. All users are advised to upgrade. There are no known workarounds for this vulnerability.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

meshtastic / firmware 

{
  "status": "affected",
  "version": "< 2.5.6"
}

meshtastic / firmware 

{
  "status": "affected",
  "version": "0",
  "lessThan": "2.5.6",
  "versionType": "custom"
}
cpe:2.3:a:meshtastic:firmware:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve5.3
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнет
I · Целостностьнет
A · Доступностьнизкое

Классы CWE

CWE-138 · Неправильная нейтрализация особых элементовCWE-159 · Неправильное обращение с недействительным использованием специальных элементов

Источники и ссылки

Материал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:58.937418+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.131978+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.131978+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.131978+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:58.937418+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T22:15:38.131978+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:08
  2. Данные обновлены04.11.2026, 00:08
  3. Данные обновлены03.11.2026, 00:07
  4. Данные обновлены02.11.2026, 00:07
  5. Данные обновлены31.10.2026, 11:54
  6. Данные обновлены30.10.2026, 13:16
  7. Данные обновлены29.10.2026, 10:33
  8. Опубликована29.10.2026, 01:15

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-44359
Meshtastic GitHub repo vulnerable to Arbitrary Code Execution via pull_request_target Fork Checkout in CI Workflow
meshtastic / firmware
Критический10.0
1,8 %
20.07.2026
CVE-2026-42566
Meshtastic: Malformed UTF-8 in User.long_name broadcast over LoRa causes mesh-wide client decode failure
meshtastic / firmware
Высокий7.5
0,49 %
20.07.2026
CVE-2026-11405
Hidden backdoor authentication mechanism in multiple versions of Tenda firmware allows admin access to web management interface
Tenda / firmware
Критический9.8
0,77 %
06.07.2026
CVE-2025-55292
In Meshtastic, an attacker can spoof licensed amateur flag for a node
meshtastic / firmware
Высокий8.2
0,14 %
28.01.2026
CVE-2025-53627
Meshtastic firmware allows forged DMs with no PKC to show up as encrypted
meshtastic / firmware
Средний5.3
0,2 %
29.12.2025
CVE-2024-51500: Failure to check for packets from the broadcast address allows potential DDoS amplification attack in Meshtastic firmware · CVE Радар