CVE-2026-25197: Autorisierungsbypass über benutzergesteuerten Schlüssel (IDOR)

Sicherheitshinweis

Produkt

Zusammenfassung

Zwei REST-API-Endpunkte geben Benutzerdaten ohne berechtigungsspezifische Autorisierungsprüfungen zurück:

• /api/users gibt die vollständige Benutzerliste zurück. Es ist keine Authentifizierung erforderlich.
• /api/user/{id} gibt das Profil des durch {id} identifizierten Benutzers zurück. Es wird nicht überprüft, ob die anfordernde Partei berechtigt ist, auf den Datensatz dieses Benutzers zuzugreifen.

Benutzerkennungen sind aufeinanderfolgende Ganzzahlen, sodass alle 134.215+ Benutzerkonten und deren zugehörigen Geräte über den Endpunkt /api/user/{id} enumeriert werden können.

Schwachstellendetails

Unaunthentifizierte Benutzerauflistung

Der Endpunkt /api/users akzeptiert unaunthentifizierte Anfragen und gibt die vollständige Benutzerliste zurück. Auf diesem Endpunkt wird keine Authentifizierung, Ratenbegrenzung oder Zugriffsprotokollierung durchgeführt.

GET [GESCHWÄRZT – Cloud-API-Host]/api/users
Authentifizierung: KEINE

Benutzerprofil-Endpunkt – IDOR

Der Endpunkt /api/user/{id} akzeptiert eine Benutzer-ID als Pfadparameter und gibt das Profil des entsprechenden Benutzers zurück. Der Endpunkt führt keine Autorisierungsprüfung durch, um zu bestätigen, dass die anfordernde Partei mit dem angeforderten Benutzer verknüpft ist. Benutzer-IDs sind aufeinanderfolgende Ganzzahlen.

GET [GESCHWÄRZT – Cloud-API-Host]/api/user/{user_id}

Pro Benutzer offengelegte Daten:

Vorhersagbare Kamera-Bild-URLs

Kamera-Bild-URLs folgen einem vorhersagbaren Muster, das die aufeinanderfolgende Benutzer-ID, Geräte-ID und den Zeitstempel einbezieht. Sobald Benutzer- und Geräte-IDs über den IDOR abgerufen wurden, kann ein Angreifer gültige URLs konstruieren, um auf Kamera-Bilder eines beliebigen Benutzers zuzugreifen, ohne zusätzliche Authentifizierung. Die Gardyn-Kamera erfasst nur Standbilder – es werden keine Audiostreams aufgezeichnet oder offengelegt.

Auswirkungen

• Offenlegung personenbezogener Daten (PII) von 134.215+ Benutzern durch sequenzielle Enumerierung
• Zugriff auf Innenraum-Kamerabilder von etwa 115.000 Gardyn-Kameras
• Vollständige Benutzer-zu-Gerät-Zuordnung, die gezielte Angriffe ermöglicht
• Zwei unabhängige Vektoren: /api/users (keine Authentifizierung, vollständige Benutzerliste) und /api/user/{id} (sequenzieller IDOR, Daten beliebiger Benutzer)
• Datenschutzverletzung in großem Umfang – Namen, E-Mails, physische Adressen, Gerätedaten, Kamerabilder

Verfügbare Azure-Dienste für diese Art von Endpunkt

Behebung

Gardyn empfiehlt ein Upgrade auf Cloud-API-Version 2.12.2026 oder höher. Weitere Informationen finden Sie unter https://mygardyn.com/security/.

Empfohlene Abhilfemaßnahmen für Gerätebesitzer:

• Isolieren Sie das Gardyn-Gerät in einem dedizierten VLAN oder IoT-Netzwerksegment
• Überlegen Sie, ob die integrierte Kamera sensible Bereiche Ihres Hauses erfasst

Empfohlene Korrektur für den Anbieter:

1. Implementieren Sie ordnungsgemäße Autorisierungsprüfungen für alle Endpunkte für Benutzer- und Gerätedaten
2. Ersetzen Sie sequenzielle Integer-IDs durch nicht enumerierbare Identifikatoren (UUIDs)
3. Überprüfen Sie vor der Rückgabe von Daten, ob der authentifizierte Benutzer die angeforderte Ressource besitzt
4. Rotieren Sie API-Anmeldeinformationen und entfernen Sie sie aus der Firebase Remote Config
5. Implementieren Sie Ratenbegrenzung für Endpunkte zur Benutzer-/Gerätesuche
6. Prüfen Sie Zugriffsprotokolle auf Enumerationsmuster

Zeitplan

Referenzen

• CVE-2026-25197 – CVE-Eintrag
• ICSA-26-055-03
• CWE-639: Autorisierungsbypass über benutzergesteuerten Schlüssel

Danksagungen

Gemeldet von Michael Groberman — Gr0m an CISA.