CVE-2025-51643：未受保护的 SPI Flash 使 Meitrack T366G-L 固件可被提取

描述

Meitrack T366G-L GPS 追踪器设备包含一个 SPI 闪存芯片（Winbond 25Q64JVSIQ），该芯片无需身份验证或防篡改保护即可访问。具有物理访问权限的攻击者可以连接标准 SPI 编程器，并使用 flashrom 提取设备固件。这会导致敏感配置数据（如 APN 凭据、后端服务器信息和网络参数）以明文形式暴露。同一访问路径还使固件修改和重新刷写成为可能。

受影响产品

• 厂商： Meitrack Group
• 产品： Meitrack T366G-L
• 固件： T366L_Y24H131V039（已确认）

漏洞类型

• CWE-1191： 芯片上调试与测试接口的访问控制不当
• CWE-922（相关）： 敏感信息的不安全存储

CVSS 3.1 评分

• 基础评分：5.7
• 向量：AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

影响

• 机密性： 高 - 固件和明文配置完全泄露（例如 APN 凭据）。
• 完整性： 可能 - 攻击者可在离线状态下修改并重新刷写固件。
• 可用性： 无 - 无需直接中断服务。

受影响组件

• 硬件： Winbond 25Q64JVSIQ SPI 闪存芯片
• 作用： 存储设备固件和配置，包括明文形式的敏感参数
• 暴露方式： 可通过 PCB 上未受保护的/调试排针或测试焊盘访问

攻击途径

物理 - 对追踪器硬件的本地访问。

复现步骤

1. 拆卸 T366G-L 外壳以访问 PCB。
2. 识别 SPI 闪存芯片（Winbond 25Q64JVSIQ）及对应的测试焊盘/调试排针。
3. 连接常见的 SPI 编程器（例如 CH341A），使用 SOIC 夹或导线连接至 VCC、GND、CS、CLK、MOSI、MISO。
4. 使用 flashrom 转储固件：
   root@kitploit:~

   # Example command (programmer may vary)
   sudo flashrom -p ch341a_spi -r meitrack_t366g-l.bin
   

发现者

Hattan Hassan D Althobaiti

参考

• CWE-1191：https://cwe.mitre.org/data/definitions/1191.html
• CWE-922：https://cwe.mitre.org/data/definitions/922.html

缓解措施

对于厂商（Meitrack）：

-实施板级保护（环氧树脂/灌封、屏蔽罩），并在生产设备上移除/禁用调试焊盘。 -通过签名固件强制启用安全启动，以防止未经授权的重新刷写。 -加密静态存储的敏感配置；避免存储明文凭据。 -提供在首次启动时轮换密钥并支持远程凭据更新的配置流程。

对于运营方：

-将物理访问视为已失陷：限制设备访问，使用防篡改封条。 -如果怀疑设备完整性，请轮换后端凭据。 -对追踪器基础设施进行网络分段，并在管理端点上强制实施 IP 白名单/MFA。