CVE-2026-32662: Aktiver Debug-Code in der Produktion

Sicherheitshinweis

Produkt

Zusammenfassung

Entwicklungs- und Test-API-Endpunkte, die die Produktionsfunktionalität widerspiegeln, sind in der Produktionsumgebung vorhanden. Diese Endpunkte boten in der Vergangenheit Zugriff auf Produktionsanmeldedaten mit reduzierten oder fehlenden Authentifizierungskontrollen. Darüber hinaus sind Entwicklungsanmeldedaten und -konfiguration in den Produktions-Builds der mobilen Anwendung und des Admin-Panels eingebettet.

Details zur Schwachstelle

Entwicklungs-API-Endpunkte

Es wurden mehrere Entwicklungs- und Test-API-Endpunkte entdeckt, die parallel zur Produktionsinfrastruktur existieren:

Historischer Abfluss von Anmeldedaten

Die Entwicklungs-API akzeptierte in der Vergangenheit dieselben Provisionierungsanfragen wie die Produktion und gab ohne Authentifizierung vollständige Produktionsanmeldedaten zurück, einschließlich der iothubowner-Anmeldedaten des IoT Hub (CVE-2025-1242).

Die Entwicklungsumgebung war mit Produktionsanmeldedaten konfiguriert, was bedeutet, dass eine Kompromittierung der weniger gesicherten Entwicklungsumgebung vollen Zugriff auf die Produktions-IoT-Hub-Flotte gewährte.

Entwicklungsanmeldedaten in Produktions-Builds

Anmeldedaten und Konfiguration der Entwicklungsumgebung waren in den Produktions-Artefakten der Anwendung eingebettet:

Mobile Anwendung (index.android.bundle):

• Hostnamen und Endpunkte der Entwicklungs-API
• Anmeldedaten des Firebase-Entwicklungsprojekts
• Verbindungszeichenfolgen für Test-/Staging-Umgebungen

JavaScript-Bundle des Admin-Panels (admin.gardyn.io):

• In Produktions-Bundle geleakter Entwicklungs-API-Endpunkt ([REDACTED — Dev API host])
• Anmeldedaten der Entwicklungsumgebung
• Debug-Konfigurationsparameter
• Interne Azure-Ressourcenkennungen

Aufzählung der Produktions-API-Endpunkte

Die Analyse der Produktions-Bundles und der Firebase Remote Config legte die vollständige Produktions-API-Oberfläche offen:

Aktueller Status

Die Entwicklungs-Endpunkte geben nun 403-Forbidden-Antworten zurück, was darauf hindeutet, dass sie blockiert wurden, die Infrastruktur jedoch weiterhin bereitgestellt ist. Entwicklungsanmeldedaten bleiben in den veröffentlichten Builds der mobilen Anwendung eingebettet.

Auswirkungen

• Historischer Abfluss von Anmeldedaten über Entwicklungs-Endpunkte (der Produktionsschlüssel iothubowner war zugänglich)
• Entwicklungsanmeldedaten in Produktions-Builds ermöglichen die Entdeckung von Umgebungen und gezielte Aufklärung
• Parallele Entwicklungsumgebungen mit Produktionsanmeldedaten schaffen alternative Angriffspfade
• Die Aufzählung der internen API-Oberfläche erleichtert die Ausnutzung anderer Schwachstellen
• Risiko einer erneuten Offenlegung in der Zukunft, falls die Zugriffskontrollen auf Entwicklungs-Endpunkten gelockert werden

Standarddienste für diese Klasse von Endpunkten

Azure bietet integrierte Umgebungstrennung und Bereitstellungskontrollen, die verhindern, dass Entwicklungscode in die Produktion gelangt:

Behebung

Gardyn empfiehlt ein Upgrade auf Cloud-API-Version 2.12.2026 oder höher. Weitere Informationen finden Sie unter https://mygardyn.com/security/.

Empfohlener Fix für den Anbieter:

1. Öffentlich erreichbare Entwicklungs-Endpunkte vollständig außer Betrieb nehmen
2. Netzwerksegmentierung implementieren, die Nicht-Produktionsumgebungen vom Internet isoliert
3. Niemals Produktionsanmeldedaten in Entwicklungsumgebungen verwenden
4. Entwicklungs-Hostnamen, Anmeldedaten und Debug-Konfiguration aus den Produktions-Builds der Anwendung entfernen
5. Debug-Symbole, Build-Pfade und Umgebungsmetadaten aus den Produktions-Bundles entfernen
6. Eine Build-Pipeline implementieren, die validiert, dass keine Entwicklungs-Artefakte in Release-Builds vorhanden sind
7. Regelmäßige Audits der öffentlich erreichbaren Azure-Web-App-Endpunkte durchführen

Zeitleiste

Referenzen

• CVE-2026-32662 – CVE-Eintrag
• ICSA-26-055-03
• CWE-489: Aktiver Debug-Code

Danksagung

Gemeldet von Michael Groberman — Gr0m an CISA.