CVE-2025-51643: Ungeschützter SPI-Flash ermöglicht Firmware-Extraktion im Meitrack T366G-L

Beschreibung

Meitrack T366G-L GPS-Tracker-Geräte enthalten einen SPI-Flash-Chip (Winbond 25Q64JVSIQ), der ohne Authentifizierung oder Manipulationsschutz zugänglich ist. Ein Angreifer mit physischem Zugang kann einen Standard-SPI-Programmer anschließen und flashrom verwenden, um die Geräte-Firmware zu extrahieren. Dies führt zur Offenlegung sensibler Konfigurationsdaten - wie APN-Anmeldeinformationen, Backend-Serverinformationen und Netzwerkparameter - die im Klartext gespeichert sind. Derselbe Zugangspfad ermöglicht auch eine potenzielle Firmware-Modifikation und ein erneutes Flashen.

Betroffene Produkte

• Hersteller: Meitrack Group
• Produkt: Meitrack T366G-L
• Firmware: T366L_Y24H131V039 (bestätigt)

Schwachstellenart

• CWE-1191: On-Chip-Debug- und Testschnittstelle mit unzureichender Zugriffskontrolle
• CWE-922 (zugehörig): Unsichere Speicherung sensibler Informationen

CVSS-3.1-Score

• Basis-Score: 5.7
• Vektor: AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Auswirkungen

• Vertraulichkeit: Hoch - vollständige Offenlegung von Firmware und Klartextkonfiguration (z. B. APN-Anmeldeinformationen).
• Integrität: Potenziell - Angreifer kann Firmware offline modifizieren und neu flashen.
• Verfügbarkeit: Keine - keine direkte Dienstunterbrechung erforderlich.

Betroffene Komponente

• Hardware: Winbond 25Q64JVSIQ SPI-Flash-Speicherchip
• Rolle: Speichert Geräte-Firmware und Konfiguration, einschließlich sensibler Parameter im Klartext
• Exposition: Zugänglich über einen ungeschützten/Debug-Header/Testpads auf der Leiterplatte (PCB)

Angriffsvektoren

Physisch - lokaler Zugang zur Tracker-Hardware.

Schritte zur Reproduktion

1. Zerlegen Sie das T366G-L-Gehäuse, um Zugang zur Leiterplatte zu erhalten.
2. Identifizieren Sie den SPI-Flash-Chip (Winbond 25Q64JVSIQ) und die zugehörigen Testpads/Debug-Header.
3. Verbinden Sie einen gängigen SPI-Programmer (z. B. CH341A) mit SOIC-Clip oder Drähten mit VCC, GND, CS, CLK, MOSI, MISO.
4. Firmware auslesen mit flashrom:
   root@kitploit:~

   # Example command (programmer may vary)
   sudo flashrom -p ch341a_spi -r meitrack_t366g-l.bin
   

Entdecker

Hattan Hassan D Althobaiti

Referenzen

• CWE-1191: https://cwe.mitre.org/data/definitions/1191.html
• CWE-922: https://cwe.mitre.org/data/definitions/922.html

Gegenmaßnahmen

Für Hersteller (Meitrack):

-Implementieren Sie Board-Level-Schutzmaßnahmen (Epoxidharz/Verguss, Abschirmgehäuse) und entfernen/deaktivieren Sie Debug-Pads auf Produktionsgeräten. -Setzen Sie Secure Boot mit signierter Firmware durch, um unbefugtes erneutes Flashen zu verhindern. -Verschlüsseln Sie sensible Konfiguration im Ruhezustand; vermeiden Sie die Speicherung von Klartext-Anmeldeinformationen. -Stellen Sie einen Provisioning-Ablauf bereit, der Geheimnisse beim ersten Start rotiert und Remote-Anmeldeinformations-Updates unterstützt.

Für Betreiber:

-Behandeln Sie physischen Zugang als kompromittiert: Beschränken Sie den Gerätezugriff, verwenden Sie manipulationssichere Siegel. -Rotieren Sie Backend-Anmeldeinformationen, wenn ein Verdacht auf Integritätsverlust des Geräts besteht. -Segmentieren Sie die Tracker-Infrastruktur im Netzwerk und setzen Sie IP-Zulassungslisten/MFA für Verwaltungsendpunkte durch.