CVE-2025-51643: Flash SPI Desprotegido Permite Extração de Firmware no Meitrack T366G-L

Descrição

Dispositivos rastreadores GPS Meitrack T366G-L contêm um chip de memória flash SPI (Winbond 25Q64JVSIQ) que é acessível sem autenticação ou proteção contra adulteração. Um invasor com acesso físico pode conectar um programador SPI padrão e usar o flashrom para extrair o firmware do dispositivo. Isso leva à exposição de dados de configuração sensíveis - como credenciais APN, informações do servidor back-end e parâmetros de rede - armazenados em texto simples. O mesmo caminho de acesso também permite potencial modificação e regravação do firmware.

Produtos Afetados

• Fabricante: Meitrack Group
• Produto: Meitrack T366G-L
• Firmware: T366L_Y24H131V039 (confirmado)

Tipo de Vulnerabilidade

• CWE-1191: Interface de Depuração e Teste no Chip com Controle de Acesso Inadequado
• CWE-922 (relacionado): Armazenamento Inseguro de Informações Sensíveis

Pontuação CVSS 3.1

• Pontuação Base: 5.7
• Vetor: AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Impacto

• Confidencialidade: Alta - divulgação completa do firmware e configuração em texto simples (ex.: credenciais APN).
• Integridade: Potencial - o invasor pode modificar e regravar o firmware offline.
• Disponibilidade: Nenhuma - nenhuma interrupção direta de serviço necessária.

Componente Afetado

• Hardware: Chip de memória flash SPI Winbond 25Q64JVSIQ
• Função: Armazena firmware e configuração do dispositivo, incluindo parâmetros sensíveis em texto simples
• Exposição: Acessível através de um cabeçalho/pinos de teste sem proteção na PCB

Vetores de Ataque

Físico - acesso local ao hardware do rastreador.

Passos para Reproduzir

1. Desmonte o invólucro do T366G-L para acessar a PCB.
2. Identifique o chip flash SPI (Winbond 25Q64JVSIQ) e os pinos de teste/cabeçalho de depuração correspondentes.
3. Conecte um programador SPI comum (ex.: CH341A) com grampo SOIC ou fios a VCC, GND, CS, CLK, MOSI, MISO.
4. Extraia o firmware usando o flashrom:
   root@kitploit:~

   # Exemplo de comando (o programador pode variar)
   sudo flashrom -p ch341a_spi -r meitrack_t366g-l.bin
   

Descobridor

Hattan Hassan D Althobaiti

Referências

• CWE-1191: https://cwe.mitre.org/data/definitions/1191.html
• CWE-922: https://cwe.mitre.org/data/definitions/922.html

Mitigação

Para fabricantes (Meitrack):

• Implementar proteções a nível de placa (epóxi/encapsulamento, blindagens) e remover/desabilitar pinos de depuração em unidades de produção.
• Aplicar inicialização segura com firmware assinado para evitar regravação não autorizada.
• Criptografar configuração sensível em repouso; evitar armazenar credenciais em texto simples.
• Fornecer um fluxo de provisionamento que alterne segredos na primeira inicialização e suporte atualizações remotas de credenciais.

Para operadores:

• Tratar acesso físico como comprometido: restringir acesso ao dispositivo, usar selos de violação.
• Rotacionar credenciais do back-end se a integridade do dispositivo for suspeita.
• Segmentar em rede a infraestrutura do rastreador e aplicar listas de permissão de IP/MFA em endpoints de gerenciamento.