CVE-2026-32646: Falta de autenticación en el endpoint administrativo de gestión de dispositivos

Aviso

Producto

Resumen

El endpoint administrativo /api/admin/devices para la gestión de dispositivos es accesible sin autenticación. Este endpoint expone la enumeración de dispositivos, la recuperación de metadatos y las funciones de gestión de dispositivos destinadas únicamente a uso administrativo.

Detalles de la vulnerabilidad

Acceso administrativo no autenticado

El endpoint administrativo de gestión de dispositivos es de acceso público sin ningún control de autenticación o autorización:

GET [REDACTED — Cloud API host]/api/admin/devices
Authentication: NONE

Funciones expuestas

El endpoint no autenticado permite:

• Enumeración de dispositivos -- enumerar todos los dispositivos registrados en la flota
• Metadatos de dispositivos -- números de serie, versiones de firmware, estado en línea/fuera de línea, marcas de tiempo de última conexión
• Asignación dispositivo-usuario -- qué usuario es propietario de cada dispositivo
• Operaciones de gestión de dispositivos -- operaciones administrativas CRUD sobre los registros de dispositivos

Relación con otros hallazgos

Este endpoint proporciona una vía alternativa para la enumeración de dispositivos que no requiere la credencial de IoT Hub (CVE-2025-1242). Mientras que CVE-2025-1242 permite la enumeración a través del registro de Azure IoT Hub, este endpoint permite la enumeración a través de la API de backend de Gardyn: dos vías independientes a los mismos datos.

Combinado con CVE-2026-25197 (IDOR), los ID de dispositivo obtenidos desde este endpoint pueden utilizarse para pivotar a la PII de los usuarios a través de la API REST.

Impacto

• Enumeración completa de la flota de dispositivos sin autenticación (~138 160 dispositivos registrados)
• La exposición de metadatos de dispositivos (números de serie, versiones de firmware, estado) permite ataques dirigidos
• La correlación dispositivo-usuario permite violaciones de privacidad a gran escala
• Proporciona datos de reconocimiento para explotar CVE-2025-1242 (credenciales de IoT Hub) y CVE-2025-29631 (inyección de comandos)
• La exposición de funciones administrativas puede permitir la manipulación de dispositivos

Servicios estándar disponibles para esta clase de endpoint

Remediación

Gardyn recomienda actualizar a la versión 2.12.2026 de Cloud API o posterior. Consulte https://mygardyn.com/security/ para obtener información adicional.

Mitigaciones recomendadas para los propietarios de dispositivos:

• Aísle el dispositivo Gardyn en una VLAN dedicada o en un segmento de red IoT

Corrección recomendada para el proveedor:

1. Exigir autenticación administrativa en todos los endpoints /api/admin/*
2. Implementar control de acceso basado en roles que separe las operaciones de administrador y de usuario
3. Ubicar los endpoints administrativos detrás de una ruta separada con control de acceso (no en la API pública)
4. Auditar los registros de acceso de los endpoints administrativos para detectar accesos no autorizados
5. Implementar limitación de frecuencia (rate limiting) en los endpoints de listado de dispositivos

Cronología

Referencias

• CVE-2026-32646 -- Registro CVE
• ICSA-26-055-03
• CWE-306: Falta de autenticación para función crítica

Créditos

Reportado por Michael Groberman — Gr0m a CISA.