nastycrow/cve-2025-51643Documentación de CVE-2025-51643: extracción física de la memoria flash SPI en el rastreador GPS Meitrack T366G-L que permite el volcado de firmware, la divulgación de credenciales en texto plano y la modificación de firmware sin conexión.
Los dispositivos de rastreo GPS Meitrack T366G-L contienen un chip de memoria flash SPI (Winbond 25Q64JVSIQ) que es accesible sin autenticación ni protección contra manipulaciones. Un atacante con acceso físico puede conectar un programador SPI estándar y usar flashrom para extraer el firmware del dispositivo. Esto conduce a la exposición de datos de configuración sensibles, como credenciales APN, información del servidor backend y parámetros de red, almacenados en texto plano. La misma vía de acceso también permite una posible modificación y re-flasheo del firmware.
Físico - acceso local al hardware del rastreador.
VCC, GND, CS, CLK, MOSI, MISO.flashrom:
# Example command (programmer may vary)
sudo flashrom -p ch341a_spi -r meitrack_t366g-l.bin
Hattan Hassan D Althobaiti
-Implementar protecciones a nivel de placa (epoxi/encapsulado, blindajes) y eliminar o deshabilitar los pads de depuración en las unidades de producción. -Aplicar arranque seguro con firmware firmado para evitar un re-flasheo no autorizado. -Cifrar la configuración sensible en reposo; evitar almacenar credenciales en texto plano. -Proporcionar un flujo de aprovisionamiento que rote los secretos en el primer arranque y admita actualizaciones remotas de credenciales.
-Tratar el acceso físico como comprometido: restringir el acceso al dispositivo, usar sellos a prueba de manipulaciones. -Rotar las credenciales del backend si se sospecha de la integridad del dispositivo. -Segmentar por red la infraestructura de rastreadores y aplicar listas de permisos de IP/MFA en los endpoints de gestión.