Ingenic T31 SoC引导ROM安全启动验证缺陷(CVE-2026-50720)及POC

漏洞概述 漏洞名称: Ingenic T31 Boot ROM — Improper Secure Boot Verification CVE编号: CVE-2026-50720 CVSS评分: 8.1 (High) 描述: Ingenic T31 SoC的引导ROM（mask ROM）在验证SPL（Secondary Program Loader）镜像时存在实现缺陷。由于在flash-引导验证路径中的实现错误，引导ROM仅比较RSA派生输出的单个32位字与SHA-256有效载荷摘要，而不是完整的加密数据。这导致签名验证的有效安全性从128位降低到32位，允许物理攻击者伪造修改后的SPL镜像，而无需拥有OEM签名密钥。 影响范围 受影响产品: - Ingenic T31 SoC系列（所有子变体），所有已知的mask ROM修订版（T31, T31X, T31L, T31N, T31L, T31NO等） - Wyze Video Doorbell v2（基于T31X）用作验证目标 影响: - 完全绕过第一阶段的引导安全 - 执行任意未签名的SPL和第二阶段引导加载程序代码 - 无需OEM签名密钥即可替换固件 - 在出厂重置后持久存在——伪造的SPL镜像存储在SPI NOR闪存中，并在每次启动时重新执行 - 漏洞位于mask ROM中，无法通过固件更新修复 修复方案 变通方法: - 物理加固: 限制对设备引导介质的物理访问。禁用或物理移除任何在电路烧录接口（UART, JTAG, USB引导模式输入） - eFuse-based引导介质锁定: 如果SoC/芯片支持SPI-NOR写保护通过eFuse或写保护引脚，确保其在制造后启用 - 信任链监控: 从单独的信任元素验证运行内核和用户空间 - 替换: 对于需要严格引导安全性的部署，迁移到没有此漏洞的SoC POC代码 其他信息 发现者: Matt Davis (OpenSensor Engineering LLC) 和 Alfonso Gamboa 披露时间线: - 2026年3月: 漏洞由Matt Davis和Alfonso Gamboa发现 - 2026年3月17日: Ingenic Semiconductor通过多个渠道通知 - 2026年3月17日: 下游供应商（Wyze）通知，协调进行中 - 2026年3月: 通过T31X设备上的硬件演示确认漏洞 - 2026年3月25日: CVE提交至MITRE - 2026年5月30日: 在Maine BSides上展示完整技术细节 - 2026年6月: CVE-2026-50720分配给MITRE 参考链接 MITRE CVE-2026-50720 NVD entry OpenSensor Engineering — Security Disclosures OpenSensor — T31 Boot ROM Advisory Thingino Firmware Project CVE-2026-50719 — T32/T40/T41/A1 Init-Table Bypass (related, separate vulnerability class)

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Ingenic T31 SoC引导ROM安全启动验证缺陷(CVE-2026-50720)及POC

目标达成感谢每一位支持者 — 我们达成了 100% 目标！