CERT/CC VU#653116 | CISA Advisory ICSA-26-055-03 | All CVEs | Case Repository

CVE-2026-32662: Aktiver Debug-Code in der Produktion

Advisory

Produkt

Zusammenfassung

In der Produktionsumgebung sind Entwicklungs- und Test-API-Endpunkte vorhanden, die die Produktionsfunktionalität spiegeln. Diese Endpunkte boten in der Vergangenheit Zugriff auf Produktionsanmeldedaten mit reduzierten oder fehlenden Authentifizierungskontrollen. Darüber hinaus sind Entwicklungsanmeldedaten und -konfigurationen in den Produktions-Builds der mobilen Anwendung und des Admin-Panels eingebettet.

Schwachstellendetails

Entwicklungs-API-Endpunkte

Es wurden mehrere Entwicklungs- und Test-API-Endpunkte entdeckt, die parallel zur Produktionsinfrastruktur laufen:

Historischer Anmeldedaten-Leak

Die Entwicklungs-API akzeptierte in der Vergangenheit dieselben Provisionierungsanfragen wie die Produktion und gab vollständige Produktionsanmeldedaten zurück, einschließlich der IoT-Hub-Anmeldedaten iothubowner (CVE-2025-1242) — ohne Authentifizierung.

Die Entwicklungsumgebung war mit Produktionsanmeldedaten konfiguriert, was bedeutet, dass eine Kompromittierung der weniger gesicherten Entwicklungsumgebung vollen Zugriff auf die Produktions-IoT-Hub-Flotte gewährte.

Entwicklungsanmeldedaten in Produktions-Builds

Anmeldedaten und Konfigurationen der Entwicklungsumgebung wurden in Produktions-Artefakten der Anwendung eingebettet gefunden:

Mobile Anwendung (index.android.bundle):

• Hostnamen und Endpunkte der Entwicklungs-API
• Anmeldedaten des Firebase-Entwicklungsprojekts
• Verbindungszeichenfolgen für Test-/Staging-Umgebungen

JavaScript-Bundle des Admin-Panels (admin.gardyn.io):

• In Produktions-Bundle geleakter Entwicklungs-API-Endpunkt ([REDAKTIERT — Dev-API-Host])
• Anmeldedaten der Entwicklungsumgebung
• Debug-Konfigurationsparameter
• Interne Azure-Ressourcenkennungen

Aufzählung der Produktions-API-Endpunkte

Die Analyse der Produktions-Bundles und der Firebase Remote Config offenbarte die vollständige Produktions-API-Oberfläche:

Aktueller Status

Entwicklungs-Endpunkte geben nun 403 Forbidden-Antworten zurück, was darauf hindeutet, dass sie blockiert wurden, die Infrastruktur jedoch weiterhin bereitgestellt bleibt. Entwicklungsanmeldedaten bleiben in veröffentlichten Builds der mobilen Anwendung eingebettet.

Auswirkungen

• Historischer Anmeldedaten-Leak über Entwicklungs-Endpunkte (Produktionsschlüssel iothubowner war zugänglich)
• Entwicklungsanmeldedaten in Produktions-Builds ermöglichen Umgebungsermittlung und gezielte Aufklärung
• Parallele Entwicklungsumgebungen mit Produktionsanmeldedaten schaffen alternative Angriffspfade
• Aufzählung der internen API-Oberfläche erleichtert die Ausnutzung anderer Schwachstellen
• Risiko einer erneuten Offenlegung, wenn Zugriffskontrollen auf Entwicklungs-Endpunkte gelockert werden

Standarddienste für diese Klasse von Endpunkten

Azure bietet integrierte Umgebungstrennung und Bereitstellungskontrollen, die verhindern, dass Entwicklungscode in die Produktion gelangt:

Behebung

Gardyn empfiehlt ein Upgrade auf Cloud-API-Version 2.12.2026 oder höher. Weitere Informationen finden Sie unter https://mygardyn.com/security/.

Empfohlene Korrektur für den Hersteller:

1. Öffentlich routbare Entwicklungs-Endpunkte vollständig außer Betrieb nehmen
2. Netzwerksegmentierung implementieren, die Nicht-Produktionsumgebungen vom Internet isoliert
3. Niemals Produktionsanmeldedaten in Entwicklungsumgebungen verwenden
4. Entwicklungs-Hostnamen, Anmeldedaten und Debug-Konfiguration aus Produktions-Builds der Anwendung entfernen
5. Debug-Symbole, Build-Pfade und Umgebungsmetadaten aus Produktions-Bundles entfernen
6. Eine Build-Pipeline implementieren, die validiert, dass keine Entwicklungs-Artefakte in Release-Builds vorhanden sind
7. Regelmäßige Audits exponierter Azure-Web-App-Endpunkte durchführen

Zeitplan

Referenzen

• CVE-2026-32662 -- CVE-Eintrag
• ICSA-26-055-03
• CWE-489: Active Debug Code

Anerkennung

Gemeldet von Michael Groberman — Gr0m an CISA.