CVE-2025-1242: كشف بيانات اعتماد IoT Hub الإدارية

إشعار

المنتج

ملخص

يمكن استخراج بيانات اعتماد Azure IoT Hub الإدارية (سياسة الوصول المشتركة iothubowner) من خلال عدة نواقل، بما في ذلك استجابات API غير المصادقة، وهندسة التطبيق المحمول العكسية، وتحليل البرامج الثابتة للجهاز. تمنح بيانات الاعتماد هذه تحكمًا إداريًا كاملاً على IoT Hub الخاص بـ Gardyn، والذي يدير معماريًا جميع الأجهزة المسجلة.

تفاصيل الثغرة

بيانات الاعتماد

سياسة الوصول المشتركة iothubowner هي أعلى رتبة من بيانات الاعتماد في Azure IoT Hub. تمنح:

يذكر توثيق Microsoft: "سياسة iothubowner تمتلك جميع الصلاحيات ويجب استخدامها بحذر شديد. إنها مخصصة لإدارة الخدمة الخلفية فقط ويجب NEVER توزيعها على العملاء."

توفر سلسلة اتصال واحدة من iothubowner وصولاً إداريًا إلى IoT Hub الخاص بـ Gardyn.

نواقل التعرض

تم كشف بيانات الاعتماد من خلال عدة قنوات مستقلة:

1. نقطة نهاية API غير مصادقة

قامت نقطة نهاية لتوفير الأجهزة غير مصادقة بإرجاع بيانات الاعتماد الإدارية إلى أي متصل. لم يكن هناك حاجة إلى مصادقة. كانت نقطة النهاية متاحة لأي شخص على الإنترنت.

تفاصيل الطلب محذوفة — تم حذف مسارات النهايات المحددة وأسماء الحقول وهياكل الطلب من هذا الكشف العام لتقليل تمكين المهاجمين.

تمت إزالة حقل بيانات الاعتماد الإدارية لاحقًا من استجابة نقطة النهاية هذه (إصلاح جزئي)، لكن نقطة النهاية لا تزال تُرجع بيانات اعتماد على مستوى الجهاز دون مصادقة.

2. نقطة نهاية تعداد المستخدمين غير مصادقة

قامت نقطة نهاية لقائمة المستخدمين غير مصادقة بإرجاع سجلات كاملة لجميع المستخدمين المسجلين البالغ عددهم 134,215. تضمن كل سجل نسخة من بيانات الاعتماد الإدارية — ما مجموعه 134,215 نسخة في استجابة API واحدة.

تفاصيل الطلب محذوفة — تم حذف مسارات النهايات المحددة وأسماء الحقول من هذا الكشف العام لتقليل تمكين المهاجمين.

كما كشفت نقطة النهاية هذه عن معلومات شخصية حساسة لجميع المستخدمين بما في ذلك الأسماء الكاملة وعناوين البريد الإلكتروني وأرقام الهواتف وأرقام بطاقات الدفع الجزئية ومعرفات المستخدم المتسلسلة (مما يتيح IDOR) ومعرفات الأجهزة وبيانات اعتماد الاتصال.

وفقًا لـ ICSA-26-055-03 الصادر عن CISA، تم إصلاح مسار الكشف هذا في إصدارات الإصلاح المنشورة.

3. التطبيق المحمول

تم تضمين بيانات الاعتماد في حزمة تطبيق React Native (bytecode Hermes في index.android.bundle). كما يتم توزيعها عبر Firebase Remote Config، الذي يسجل بيانات الاعتماد إلى logcat في نظام Android في إصدارات التصحيح.

4. البرامج الثابتة للجهاز

سلسلة الاتصال موجودة في ملفات البرامج الثابتة للجهاز تحت /usr/local/etc/gardyn/ ويتم تسجيلها في syslog بنص عادي أثناء التهيئة.

نافذة التعرض

تم كشف بيانات الاعتماد منذ مايو 2019 على الأقل (أكثر من 6 سنوات بناءً على توفر نقطة نهاية API). قام البائع بالانتقال من IoT Hub سابق ([REDACTED — IoT Hub name]) إلى المحور الحالي ([REDACTED — IoT Hub name]) لكنه أعاد استخدام نفس مفتاح الوصول المشترك، مما يعني أن أي شخص التقط بيانات الاعتماد خلال نافذة التعرض الأصلية لا يزال لديه حق الوصول.

أكد البائع أنه لم يكن هناك أي تسجيل وصول على نقاط النهاية المتأثرة، مما يعني أنه لا يمكن تحديد نطاق الوصول غير المصرح به خلال فترة التعرض التي استمرت أكثر من 6 سنوات.

صرح البائع لـ CISA أنه لم يكن هناك أي تسجيل وصول على نقاط النهاية المتأثرة خلال نافذة التعرض. صفحة الأمان العامة للبائع هي https://mygardyn.com/security/.

التأثير

يمكن للمهاجم الذي يمتلك بيانات اعتماد iothubowner:

• تعداد الأجهزة المسجلة عبر استعلامات سجل IoT Hub
• استدعاء الطرق المباشرة على الأجهزة المسجلة، بما في ذلك طريقة upgrade() المعرضة لحقن الأوامر (CVE-2025-29631)
• قراءة وتعديل تكوينات التوأم للأجهزة
• إرسال رسائل من السحابة إلى الجهاز
• إنشاء أو حذف تسجيلات الأجهزة
• الوصول إلى بيانات القياس عن بُعد للأجهزة

بالاشتراك مع CVE-2025-29631، تتيح بيانات الاعتماد هذه تنفيذ الأكواد عن بُعد بصلاحيات الجذر على الأجهزة التي تستخدم بيانات الاعتماد المشتركة (تم التحقق على جهاز الباحث الخاص).

أهمية بيانات الاعتماد هذه

تتيح بيانات الاعتماد هذه، إلى جانب اسم مضيف IoT Hub، الوصول الإداري المباشر إلى IoT Hub الذي يدير أسطول أجهزة Gardyn المتأثرة. قدرات بيانات اعتماد iothubowner موثقة من قبل Microsoft (راجع التأثير أعلاه وتوثيق Azure المرتبط في المراجع). قامت CISA بتقييم هذا CVE عند درجة CVSS 9.1 (حرج).

يتم توثيق CVEs الأخرى في ICSA-26-055-03 كنتائج مستقلة؛ كشف بيانات الاعتماد هذه هو مشكلة منفصلة عن تلك الثغرات، على الرغم من أنه يمكن للمهاجم الذي يمتلك نتائج متعددة دمجها في بعض السيناريوهات.

خدمات Azure المتاحة لهذه الفئة من نقاط النهاية

توثيق Microsoft الخاص ينص صراحةً: "سياسة iothubowner تمتلك جميع الصلاحيات ويجب استخدامها بحذر شديد. إنها مخصصة لإدارة الخدمة الخلفية فقط ويجب NEVER توزيعها على العملاء."

العلاج

التخفيفات الموصى بها لأصحاب الأجهزة:

• عزل جهاز Gardyn على شبكة VLAN مخصصة أو قطاع شبكة IoT
• مراقبة الجهاز بحثًا عن نشاط شبكة غير متوقع
• لا تضع الجهاز على شبكات تحتوي على أنظمة حساسة

الإصلاح الموصى به للبائع:

1. تدوير مفتاح الوصول المشترك iothubowner فورًا
2. إزالة بيانات الاعتماد الإدارية من جميع استجابات API ورمز التطبيق المحمول و Firebase Remote Config
3. تنفيذ بيانات اعتماد ذات نطاق محدد لكل جهاز باستخدام Azure IoT Hub Device Provisioning Service (DPS) مع شهادات X.509
4. طلب المصادقة على جميع نقاط نهاية API التي تعيد بيانات اعتماد الجهاز أو المحور
5. مراجعة سجلات وصول IoT Hub بحثًا عن وصول غير مصرح به خلال نافذة التعرض
6. تنفيذ مراقبة وتنبيه للعمليات الإدارية الشاذة في IoT Hub

الجدول الزمني

المراجع

• CVE-2025-1242 — سجل CVE
• ICSA-26-055-03
• CSAF JSON
• CWE-798: استخدام بيانات اعتماد ثابتة في الكود المصدري
• سياسات الوصول المشتركة لـ Azure IoT Hub

الإسناد

تم الإبلاغ بواسطة Michael Groberman — Gr0m إلى CISA.