CVE-2026-44359CVSS 10.0 超危険2026-07-20Meshtastic の CI ワークフローにおける Fork コード実行の脆弱性によりリポジトリが乗っ取られる
Meshtastic の 2.7.21.1370b23 より前のバージョンでは、GitHub リポジトリの main_matrix.yml ワークフロー設定に重大なセキュリティ上の欠陥が存在します。このワークフローは pull_request_target イベントで起動し承認関門が設定されていないため、外部利用者（author_association が "NONE"）からのプルリクエストが自動的に CI を起動します。複数のジョブ（check、build、build-debian-src）が攻撃者の Fork からコードを直接チェックアウトし、リポジトリのシークレットへのアクセス権と昇格された GITHUB_TOKEN を持つ環境で、攻撃者が制御するファイルを実行します。これによりサプライチェーンの侵害、セルフホスト Runner の侵害、リポジトリの乗っ取りに至る可能性があります。以前の修正は setup ジョブのコマンドインジェクションに対処しましたが、より重大な Fork チェックアウトの問題は未解決のままでした。本脆弱性は 2.7.21.1370b23 へ更新していないすべての Meshtastic プロジェクト保守者、およびその CI に依存する環境に影響します。攻撃者は利用者の操作を必要とせず、悪意あるプルリクエストを提出するだけで遠隔から脆弱性を発火させ、リポジトリの制御権を得られます。
コンポーネント
Meshtastic はオープンソースのメッシュネットワークソリューションで、LoRa、Bluetooth、WiFi などのプロトコルを介して機器が分散的に通信できるようにします。
リスク
- リポジトリの完全な乗っ取り：攻撃者は昇格された GITHUB_TOKEN を用いてリポジトリのコードを改変し、データを削除し、悪意ある協力者を追加できます
- サプライチェーン攻撃：ビルド成果物や依存関係を汚染することで、攻撃者は下流の利用者へマルウェアを配布できます
- セルフホスト Runner の侵害：セルフホスト Runner を使用している場合、攻撃者は基盤サーバーの完全な制御権を得て、そこから横展開する可能性があります
- 操作を要しない遠隔悪用：攻撃者はプロジェクトへ悪意あるプルリクエストを提出するだけで自動的に悪用が成立し、人手による承認や操作を一切必要としません
出典
対処方法
- Meshtastic のファームウェアを直ちに 2.7.21.1370b23 以降へ更新し、公式の修正を適用してください
- GitHub Actions のワークフローを見直し、pull_request_target イベントで外部 Fork のコードを直接チェックアウトして実行することを避けてください
- 機微なワークフローには承認関門（Approval Gates）を設け、未審査の外部コードが自動実行されないようにしてください
- GITHUB_TOKEN の権限範囲を最小権限の原則に従って制限し、不要なジョブでリポジトリのシークレットを露出させないでください
- ---
