Wie viele CVEs führt die NVD für meine NimBLE-Version?
Gezählt sind CVEs, deren NVD-Konfiguration die Version als verwundbar führt, abgefragt am 27.10.2026 über die NVD-API, ohne zurückgezogene Einträge. Die NVD führt NimBLE unter cpe:2.3:a:apache:nimble; Formen mit „mynewt“ oder „esp-nimble“ liefern keinen Treffer.
Alle 15 CVEs hat Apache als CNA gemeldet und gewertet; die NVD hat keine eigene Wertung. Viele setzen einen manipulierten Bluetooth-Controller voraus oder eine Konfiguration, die nicht Standard ist; das steht in der Beschreibung der jeweiligen CVE.
| Version, Tag-Datum | CVEs laut NVD, davon CVSS ab 9,0 |
|---|---|
| 1.10.0, 21.07.2026 (neueste) | keine |
| 1.9.0, 19.12.2025 | 6 CVEs, keine ab 9,0 |
| 1.8.0, 25.11.2024 | 10 CVEs, keine ab 9,0 |
| 1.7.0, 04.04.2024 | 14 CVEs, keine ab 9,0 |
| 1.6.0, 07.09.2023 (Basis von ESP-IDF 5.3 bis 6.1) | 15 CVEs, keine ab 9,0 |
| 1.5.0, 06.05.2022 (Basis von ESP-IDF 5.1 und 5.2) | 15 CVEs, keine ab 9,0 |
| 1.4.0, 07.04.2021 | 15 CVEs, keine ab 9,0 |
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?virtualMatchString=cpe:2.3:a:apache:nimble:1.6.0&noRejected" \
| jq .totalResults15Welche NimBLE-CVEs sind die schwersten?
Die beiden höchsten Wertungen betreffen den Host-Stack und sind über Funk erreichbar.
| CVE, CVSS (Apache) | Was, Voraussetzung, behoben in |
|---|---|
| CVE-2026-45813, 8,8 | Stack-Überlauf im BASS-Dienst (LE Audio) bei „Add Source“ und „Modify Source“, über Funk, nach dem Pairing. Behoben in 1.10.0. |
| CVE-2025-62235, 8,1 | Eine Security Request löscht ein bestehendes Bonding; ein Angreifer kann sich als bekanntes Gerät neu koppeln. Behoben in 1.9.0. |
| CVE-2024-24746, 7,5 | Endlosschleife im GATT-Server, Denial of Service. Behoben in 1.7.0. |
| CVE-2025-52435, 7,5 | „Pause Encryption“ im Link Layer lässt die Verbindung unverschlüsselt. Betrifft den NimBLE-Controller. Behoben in 1.9.0. |
Welche NimBLE-Korrekturen stecken in ESP-IDF?
ESP-IDF bringt nicht Apache NimBLE mit, sondern Espressifs eigene Kopie esp-nimble, seit ESP-IDF 5.3 auf Basis von 1.6.0. Die NVD rechnet diese Basis mit 15 CVEs. Espressif portiert Korrekturen zurück und führt sie in sbom.yml; geprüft wurde, ob jeder dort genannte Commit im Stand steckt, den das ESP-IDF-Release festlegt.
CVE-2026-45813 betrifft die Kopie nicht: der BASS-Dienst fehlt in ihr. ESP-IDF selbst hat eigene CVEs in der Bluetooth-Provisionierung (etwa CVE-2026-45542), die unter ESP-IDF geführt werden, nicht unter NimBLE.
| ESP-IDF, Erscheinungsdatum | NimBLE-Basis, Korrekturen von Espressif darin |
|---|---|
| 6.1, 27.08.2026 | 1.6.0; 9 von 13, es fehlen CVE-2026-45811, -45815, -45816 und -46452 |
| 6.0.3, 02.09.2026 | 1.6.0; 10 von 13, es fehlen CVE-2026-45811, -45815 und -46452 |
| 5.5.6, 16.10.2026 | 1.6.0; alle 13 |
| 5.4.4, 17.04.2026 | 1.6.0; 5 von 13 |
| 5.3.6, 15.09.2026 | 1.6.0; alle 13 |
| 5.2.8, 11.09.2026 und 5.1.7, 27.01.2026 | 1.5.0; nicht einzeln geprüft |
Wo steht die NimBLE-Version in meiner Firmware?
NimBLE kompiliert keine Versionsnummer ins Binary; die Version steht nur in der Paketbeschreibung des Projekts. Im Image sichtbar sind der Controller-Name „NimBLE“, wenn der NimBLE-Controller gelinkt ist, und der Standard-Gerätename „nimble“, wenn die Anwendung ihn nicht ändert.
Bei einem ESP32-Image führt der Weg über ESP-IDF: jedes ESP-IDF-Image trägt die ESP-IDF-Version im Anwendungsdeskriptor (esp_app_desc, Feld idf_ver). Über das Release ergibt sich der NimBLE-Stand, den es festlegt.
Wie prüfe ich das von Hand?
- 1
Im Projekt die NimBLE-Version lesen: bei Mynewt
repository.yml, bei ESP-IDF die Basis incomponents/bt/host/nimble/nimble/sbom.yml. - 2
Im ESP32-Image die ESP-IDF-Version lesen und über das Release den NimBLE-Stand bestimmen.
- 3
NVD abfragen mit
cpe:2.3:a:apache:nimble:<Version>. - 4
Bei ESP-IDF die Liste in
sbom.ymlgegen Ihren Stand lesen: sie nennt die zurückportierten Korrekturen. - 5
Prüfen, welche Teile gelinkt sind: viele CVEs betreffen den Controller, Mesh oder LE Audio und gelten nur, wenn diese Teile im Build sind.
Geht das auch automatisch?
LegacyMind liest aus dem Build das RTOS und die gelinkten Bibliotheken mit ihren Versionen und gleicht jede gegen die Schwachstellenquellen ab, mit der Fundstelle im Build. Belegt das Binary keine Version, bleibt das Feld leer.
Häufige Fragen
Welche NimBLE-Version sollte ich einsetzen?
Apache NimBLE 1.10.0 vom 21.07.2026; die NVD führt dafür keine CVE. Auf dem ESP32 ein ESP-IDF-Release, das alle Korrekturen enthält, Stand 27.10.2026 etwa 5.5.6 oder 5.3.6.
Ist das neueste ESP-IDF auch das sicherste für NimBLE?
Nicht unbedingt. ESP-IDF 6.1 vom 27.08.2026 fehlen vier Korrekturen von 2026, die 5.5.6 vom 16.10.2026 enthält. Maßgeblich ist der NimBLE-Stand, den das Release festlegt.
Wird eine NimBLE-Lücke aktiv ausgenutzt?
Stand 27.10.2026 steht keine NimBLE-Lücke im Katalog aktiv ausgenutzter Schwachstellen der CISA (Katalogversion 2026.10.26).
Gibt es Patch-Releases für NimBLE?
Nein. Apache hat nie ein Release der Form 1.x.1 herausgebracht; eine Korrektur kommt mit der nächsten Nebenversion.