CVE-2025-51643: 保護されていないSPIフラッシュによりMeitrack T366G-Lのファームウェア抽出が可能

説明

Meitrack T366G-L GPSトラッカーデバイスには、認証や改ざん防止が施されていないSPIフラッシュチップ（Winbond 25Q64JVSIQ）が搭載されています。物理アクセスを持つ攻撃者は、標準のSPIプログラマを接続し、flashromを使用してデバイスのファームウェアを抽出できます。これにより、APNクレデンシャル、バックエンドサーバー情報、ネットワークパラメータなどの機密設定データが平文で保存されている状態で漏洩します。同じアクセス経路を使用して、ファームウェアの変更や再書き込みも可能です。

影響を受ける製品

• ベンダー: Meitrack Group
• 製品: Meitrack T366G-L
• ファームウェア: T366L_Y24H131V039（確認済み）

脆弱性タイプ

• CWE-1191: 不適切なアクセス制御によるオンチップデバッグおよびテストインターフェース
• CWE-922（関連）: 機密情報の安全でない保存

CVSS 3.1 スコア

• Base Score: 5.7
• Vector: AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

影響

• 機密性: 高 – ファームウェア全体と平文設定情報（APNクレデンシャルなど）が開示される。
• 完全性: 可能性あり – 攻撃者はオフラインでファームウェアを変更し再書き込みできる。
• 可用性: なし – 直接的なサービス妨害は不要。

影響を受けるコンポーネント

• ハードウェア: Winbond 25Q64JVSIQ SPIフラッシュメモリチップ
• 役割: デバイスのファームウェアと設定を保存。機密パラメータを平文で保持。
• 露出: PCB上の保護されていないデバッグヘッダ/テストパッドからアクセス可能。

攻撃ベクトル

物理的 – トラッカーハードウェアへのローカルアクセス。

再現手順

1. 分解 T366G-Lの筐体を分解しPCBにアクセスする。
2. 特定 SPIフラッシュチップ（Winbond 25Q64JVSIQ）と対応するテストパッド/デバッグヘッダを特定する。
3. 接続 一般的なSPIプログラマ（例：CH341A）をSOICクリップまたは配線でVCC、GND、CS、CLK、MOSI、MISOに接続する。
4. ダンプ flashromを使用してファームウェアをダンプする：
   root@kitploit:~

   # コマンド例（プログラマは異なる場合があります）
   sudo flashrom -p ch341a_spi -r meitrack_t366g-l.bin
   

発見者

Hattan Hassan D Althobaiti

参考文献

• CWE-1191: https://cwe.mitre.org/data/definitions/1191.html
• CWE-922: https://cwe.mitre.org/data/definitions/922.html

緩和策

ベンダー（Meitrack）向け:

-基板レベルの保護（エポキシ/ポッティング、シールド缶）を実装し、量産ユニットからデバッグパッドを削除/無効化する。 -セキュアブートを強制し、署名済みファームウェアで不正な再書き込みを防止する。 -保存時の機密設定を暗号化し、平文クレデンシャルの保存を避ける。 -初回起動時にシークレットをローテーションし、リモートでのクレデンシャル更新をサポートするプロビジョニングフローを提供する。

運用者向け:

-物理アクセスは侵害されたものとして扱い、デバイスへのアクセスを制限し、改ざん防止シールを使用する。 -デバイスの完全性が疑われる場合は、バックエンドクレデンシャルをローテーションする。 -トラッカーインフラをネットワークセグメント化し、管理エンドポイントにIP許可リスト/MFAを強制する。