CVE-2026-32662: Código de depuración activo en producción

Aviso

Producto

Resumen

Los endpoints de API de desarrollo y prueba están presentes en el entorno de producción que reflejan la funcionalidad de producción. Estos endpoints históricamente proporcionaron acceso a credenciales de producción con controles de autenticación reducidos o ausentes. Además, las credenciales y la configuración de desarrollo están incrustadas en las compilaciones de la aplicación móvil de producción y del panel de administración.

Detalles de la vulnerabilidad

Endpoints de API de desarrollo

Se descubrieron múltiples endpoints de API de desarrollo y prueba que paralelizan la infraestructura de producción:

Fuga histórica de credenciales

La API de desarrollo históricamente aceptaba las mismas solicitudes de aprovisionamiento que la producción y devolvía credenciales completas de producción, incluida la credencial iothubowner de IoT Hub (CVE-2025-1242), sin autenticación.

El entorno de desarrollo estaba configurado con credenciales de producción, lo que significa que una compromisión del entorno de desarrollo menos seguro otorgaba acceso completo a la flota de IoT Hub de producción.

Credenciales de desarrollo en compilaciones de producción

Se encontraron credenciales y configuración del entorno de desarrollo incrustadas en artefactos de aplicaciones de producción:

Aplicación móvil (index.android.bundle):

• Nombres de host y endpoints de API de desarrollo
• Credenciales del proyecto de desarrollo de Firebase
• Cadenas de conexión del entorno de prueba/preproducción

Paquete JavaScript del panel de administración (admin.gardyn.io):

• Endpoint de API de desarrollo filtrado en el paquete de producción ([REDACTED — Dev API host])
• Credenciales del entorno de desarrollo
• Parámetros de configuración de depuración
• Identificadores de recursos internos de Azure

Enumeración de endpoints de API de producción

El análisis de los paquetes de producción y Firebase Remote Config reveló la superficie completa de la API de producción:

Estado actual

Los endpoints de desarrollo ahora devuelven respuestas 403 Prohibido, lo que indica que han sido bloqueados pero la infraestructura permanece implementada. Las credenciales de desarrollo permanecen incrustadas en las compilaciones de aplicaciones móviles publicadas.

Impacto

• Fuga histórica de credenciales a través de endpoints de desarrollo (la clave iothubowner de producción era accesible)
• Las credenciales de desarrollo en compilaciones de producción permiten el descubrimiento del entorno y el reconocimiento dirigido
• Los entornos de desarrollo paralelos con credenciales de producción crean vías de ataque alternativas
• La enumeración de la superficie de la API interna ayuda a la explotación de otras vulnerabilidades
• Riesgo de reexposición futura si se relajan los controles de acceso en los endpoints de desarrollo

Servicios estándar disponibles para esta clase de endpoint

Azure proporciona controles integrados de separación del entorno e implementación que evitan que el código de desarrollo llegue a producción:

Mitigación

Gardyn recomienda actualizar a la versión 2.12.2026 o posterior de Cloud API. Consulte https://mygardyn.com/security/ para obtener información adicional.

Corrección recomendada para el proveedor:

1. Desmantelar por completo los endpoints de desarrollo enrutables públicamente
2. Implementar segmentación de red que aísle los entornos que no son de producción de Internet
3. Nunca usar credenciales de producción en entornos de desarrollo
4. Eliminar nombres de host, credenciales y configuración de depuración de desarrollo de las compilaciones de aplicaciones de producción
5. Eliminar símbolos de depuración, rutas de compilación y metadatos del entorno de los paquetes de producción
6. Implementar un canal de compilación que valide que no haya artefactos de desarrollo en las compilaciones de lanzamiento
7. Realizar auditorías periódicas de los endpoints expuestos de Azure Web App

Cronología

Referencias

• CVE-2026-32662 -- CVE Record
• ICSA-26-055-03
• CWE-489: Código de depuración activo

Crédito

Reportado por Michael Groberman — Gr0m a CISA.