CVE-2026-25197: Omisión de Autorización mediante Clave Controlada por el Usuario (IDOR)

Aviso

Producto

Resumen

Dos endpoints de la API REST devuelven datos de usuario sin comprobaciones de autorización por usuario:

• /api/users devuelve la lista completa de usuarios. No se requiere autenticación.
• /api/user/{id} devuelve el perfil del usuario identificado por {id}. No se realiza ninguna verificación de que la parte solicitante esté autorizada para acceder al registro de ese usuario.

Los identificadores de usuario son números enteros secuenciales, lo que permite enumerar más de 134,215 cuentas de usuario y sus dispositivos asociados a través del endpoint /api/user/{id}.

Detalles de la Vulnerabilidad

Listado de Usuarios sin Autenticación

El endpoint /api/users acepta solicitudes no autenticadas y devuelve la lista completa de usuarios. No se realiza autenticación, limitación de tasa ni registro de acceso en este endpoint.

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

Endpoint de Perfil de Usuario — IDOR

El endpoint /api/user/{id} acepta un ID de usuario como parámetro de ruta y devuelve el perfil del usuario correspondiente. El endpoint no realiza ninguna comprobación de autorización para verificar que la parte solicitante esté asociada al usuario solicitado. Los IDs de usuario son números enteros secuenciales.

GET [REDACTED — Cloud API host]/api/user/{user_id}

Datos expuestos por usuario:

URLs de Imágenes de Cámara Predecibles

Las URLs de las imágenes de la cámara siguen un patrón predecible que incorpora el ID de usuario secuencial, el ID del dispositivo y la marca de tiempo. Una vez que se obtienen los IDs de usuario y dispositivo a través del IDOR, un atacante puede construir URLs válidas para acceder a las imágenes de la cámara de cualquier usuario sin autenticación adicional. La cámara Gardyn captura solo imágenes fijas — no se graban ni exponen flujos de audio.

Impacto

• Exposición de información personal identificable (PII) de más de 134,215 usuarios mediante enumeración secuencial
• Acceso a imágenes de cámaras del interior del hogar de aproximadamente 115,000 cámaras Gardyn
• Mapeo completo de usuario a dispositivo que permite ataques dirigidos
• Dos vectores independientes: /api/users (sin autenticación, lista completa de usuarios) y /api/user/{id} (IDOR secuencial, datos de cualquier usuario)
• Violación de privacidad a gran escala -- nombres, correos electrónicos, direcciones físicas, datos de dispositivos, imágenes de cámaras

Servicios de Azure Disponibles para Esta Clase de Endpoint

Remediación

Gardyn recomienda actualizar a la versión 2.12.2026 o posterior de Cloud API. Consulte https://mygardyn.com/security/ para obtener información adicional.

Mitigaciones recomendadas para propietarios de dispositivos:

• Aislar el dispositivo Gardyn en una VLAN dedicada o segmento de red IoT
• Considere si la cámara integrada captura áreas sensibles de su hogar

Corrección recomendada para el proveedor:

1. Implementar comprobaciones de autorización adecuadas en todos los endpoints de datos de usuario y dispositivos
2. Reemplazar los IDs secuenciales de enteros con identificadores no enumerables (UUIDs)
3. Validar que el usuario autenticado sea el propietario del recurso solicitado antes de devolver datos
4. Rotar las credenciales de la API y eliminarlas de Firebase Remote Config
5. Implementar limitación de tasa en los endpoints de búsqueda de usuarios/dispositivos
6. Auditar los registros de acceso para detectar patrones de enumeración

Cronología

Referencias

• CVE-2026-25197 -- Registro CVE
• ICSA-26-055-03
• CWE-639: Omisión de Autorización mediante Clave Controlada por el Usuario

Créditos

Reportado por Michael Groberman — Gr0m a CISA.