CVE-2025-1242: Offenlegung von Administrator-Zugangsdaten für IoT Hub

Sicherheitshinweis

Produkt

Zusammenfassung

Die Administrator-Zugangsdaten für Azure IoT Hub (iothubowner-Richtlinie für gemeinsamen Zugriff) sind über mehrere Wege extrahierbar, darunter nicht authentifizierte API-Antworten, Reverse Engineering der mobilen Anwendung und Analyse der Geräte-Firmware. Diese Zugangsdaten gewähren administrative Kontrolle über den Gardyn IoT Hub, der architektonisch alle registrierten Geräte verwaltet.

Schwachstellendetails

Die Anmeldedaten

Die iothubowner-Richtlinie für gemeinsamen Zugriff ist die Berechtigung mit den höchsten Privilegien in Azure IoT Hub. Sie gewährt:

Die Microsoft-Dokumentation gibt an: "Die iothubowner-Richtlinie verfügt über alle Berechtigungen und sollte mit äußerster Vorsicht verwendet werden. Sie ist nur für die Backend-Dienstverwaltung vorgesehen und sollte NIEMALS an Clients weitergegeben werden."

Eine einzige iothubowner-Verbindungszeichenfolge gewährt administrativen Zugriff auf den Gardyn IoT Hub.

Expositionsvektoren

Die Zugangsdaten wurden über mehrere unabhängige Kanäle offengelegt:

1. Nicht authentifizierter API-Endpunkt

Ein nicht authentifizierter Gerätebereitstellungsendpunkt gab die Administrator-Zugangsdaten an jeden Aufrufer zurück. Es war keine Authentifizierung erforderlich. Der Endpunkt war für jeden im Internet zugänglich.

Anfragedetails entfernt — Bestimmte Endpunktpfade, Feldnamen und Anforderungsstrukturen wurden aus dieser öffentlichen Offenlegung entfernt, um Angreifern keine Hilfestellung zu geben.

Das Feld für die Administrator-Zugangsdaten wurde anschließend aus der Antwort dieses Endpunkts entfernt (teilweise Behebung), aber der Endpunkt gibt weiterhin Geräte-Zugangsdaten ohne Authentifizierung zurück.

2. Nicht authentifizierter Benutzerlisten-Endpunkt

Ein nicht authentifizierter Endpunkt zur Auflistung von Benutzern gab vollständige Datensätze aller 134.215 registrierten Benutzer zurück. Jeder Datensatz enthielt die Administrator-Zugangsdaten — 134.215 Kopien in einer einzigen API-Antwort.

Anfragedetails entfernt — Bestimmte Endpunktpfade und Feldnamen wurden aus dieser öffentlichen Offenlegung entfernt, um Angreifern keine Hilfestellung zu geben.

Dieser Endpunkt legte auch sensible personenbezogene Daten aller Benutzer offen, darunter vollständige Namen, E-Mail-Adressen, Telefonnummern, teilweise Kreditkartennummern, fortlaufende Benutzer-IDs (ermöglicht IDOR), Geräte-IDs und Verbindungs-Zugangsdaten.

Laut CISA ICSA-26-055-03 ist dieser Expositionspfad in den veröffentlichten Fehlerbehebungsversionen behoben.

3. Mobile Anwendung

Die Zugangsdaten sind im React Native-Anwendungsbundle (Hermes-Bytecode in index.android.bundle) eingebettet. Sie werden auch über Firebase Remote Config verteilt, wobei die Zugangsdaten in Debug-Builds im Android-Logcat protokolliert werden.

4. Geräte-Firmware

Die Verbindungszeichenfolge ist in den Geräte-Firmware-Dateien unter /usr/local/etc/gardyn/ vorhanden und wird während der Initialisierung im Klartext ins Syslog geschrieben.

Expositionszeitraum

Die Zugangsdaten sind seit mindestens Mai 2019 (6+ Jahre, basierend auf der Verfügbarkeit des API-Endpunkts) exponiert. Der Anbieter migrierte von einem früheren IoT Hub ([REDACTED — IoT Hub name]) zum aktuellen Hub ([REDACTED — IoT Hub name]), verwendete jedoch denselben gemeinsamen Zugriffsschlüssel wieder, sodass jeder, der die Zugangsdaten während des ursprünglichen Expositionszeitraums erfasst hat, weiterhin Zugriff hat.

Der Anbieter bestätigte, dass auf den betroffenen Endpunkten keine Zugriffsprotokollierung existierte, sodass der Umfang unbefugter Zugriffe während des 6+ Jahre dauernden Expositionszeitraums nicht bestimmt werden kann.

Der Anbieter gab gegenüber CISA an, dass während des Expositionszeitraums auf den betroffenen Endpunkten keine Zugriffsprotokollierung existierte. Die öffentliche Sicherheitsseite des Anbieters befindet sich unter https://mygardyn.com/security/.

Auswirkungen

Ein Angreifer mit den iothubowner-Zugangsdaten kann:

• Registrierte Geräte über IoT Hub-Registrierungsabfragen auflisten
• Direkte Methoden auf registrierten Geräten aufrufen, einschließlich der upgrade()-Methode, die anfällig für Befehlsinjektion ist (CVE-2025-29631)
• Gerätezwillingskonfigurationen lesen und ändern
• Cloud-zu-Gerät-Nachrichten senden
• Geräteregistrierungen erstellen oder löschen
• Auf Gerätetelemetriedaten zugreifen

In Kombination mit CVE-2025-29631 ermöglichen diese Zugangsdaten die Remote-Codeausführung als Root auf Geräten, die die gemeinsamen Zugangsdaten verwenden (auf dem eigenen Gerät des Forschers verifiziert).

Warum diese Anmeldedaten wichtig sind

Diese Zugangsdaten ermöglichten in Kombination mit dem IoT Hub-Hostnamen den direkten administrativen Zugriff auf den IoT Hub, der die betroffene Gardyn-Geräteflotte verwaltet. Die Fähigkeiten einer iothubowner-Berechtigung sind von Microsoft dokumentiert (siehe Auswirkungen oben und die verlinkte Azure-Dokumentation in Referenzen). CISA bewertete diese CVE mit CVSS 9.1 (Kritisch).

Die anderen CVEs in ICSA-26-055-03 sind als unabhängige Befunde dokumentiert; die Offenlegung dieser Zugangsdaten ist ein separates Problem von diesen Schwachstellen, obwohl ein einzelner Angreifer, der mehrere Befunde besitzt, sie in einigen Szenarien kombinieren könnte.

Verfügbare Azure-Dienste für diese Art von Endpunkt

Die eigene Microsoft-Dokumentation gibt explizit an: "Die iothubowner-Richtlinie verfügt über alle Berechtigungen und sollte mit äußerster Vorsicht verwendet werden. Sie ist nur für die Backend-Dienstverwaltung vorgesehen und sollte NIEMALS an Clients weitergegeben werden."

Behebung

Empfohlene Maßnahmen für Gerätebesitzer:

• Isolieren Sie das Gardyn-Gerät in einem dedizierten VLAN oder IoT-Netzwerksegment
• Überwachen Sie das Gerät auf unerwartete Netzwerkaktivitäten
• Platzieren Sie das Gerät nicht in Netzwerken mit sensiblen Systemen

Empfohlene Korrektur für den Anbieter:

1. Rotieren Sie sofort den iothubowner-Schlüssel für den gemeinsamen Zugriff
2. Entfernen Sie die Administrator-Zugangsdaten aus allen API-Antworten, dem Code der mobilen Anwendung und der Firebase Remote Config
3. Implementieren Sie gerätespezifische, bereichsbezogene Anmeldedaten mit dem Azure IoT Hub Device Provisioning Service (DPS) und X.509-Zertifikaten
4. Erzwingen Sie Authentifizierung an allen API-Endpunkten, die Geräte- oder Hub-Zugangsdaten zurückgeben
5. Prüfen Sie die IoT Hub-Zugriffsprotokolle auf unbefugte Zugriffe während des Expositionszeitraums
6. Implementieren Sie Überwachung und Warnungen bei anormalen IoT Hub-Verwaltungsvorgängen

Zeitplan

Referenzen

• CVE-2025-1242 — CVE-Eintrag
• ICSA-26-055-03
• CSAF JSON
• CWE-798: Verwendung fest codierter Anmeldedaten
• Azure IoT Hub-Richtlinien für gemeinsamen Zugriff

Danksagung

Gemeldet von Michael Groberman — Gr0m an CISA.