CVE-2026-25197 : Contournement d'autorisation via une clé contrôlée par l'utilisateur (IDOR)

Avis

Produit

Résumé

Deux points de terminaison de l'API REST renvoient des données utilisateur sans contrôle d'autorisation par utilisateur :

• /api/users renvoie la liste complète des utilisateurs. Aucune authentification n'est requise.
• /api/user/{id} renvoie le profil de l'utilisateur identifié par {id}. Aucune vérification n'est effectuée pour confirmer que la partie requérante est autorisée à accéder à l'enregistrement de cet utilisateur.

Les identifiants utilisateurs sont des entiers séquentiels, ce qui permet l'énumération des 134 215+ comptes utilisateurs et de leurs appareils associés via le point de terminaison /api/user/{id}.

Détails de la vulnérabilité

Liste des utilisateurs sans authentification

Le point de terminaison /api/users accepte les requêtes non authentifiées et renvoie la liste complète des utilisateurs. Aucune authentification, limitation de débit ni journalisation des accès n'est effectuée sur ce point de terminaison.

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

Point de terminaison du profil utilisateur — IDOR

Le point de terminaison /api/user/{id} accepte un ID utilisateur comme paramètre de chemin et renvoie le profil de l'utilisateur correspondant. Le point de terminaison n'effectue aucun contrôle d'autorisation pour vérifier que la partie requérante est associée à l'utilisateur demandé. Les ID utilisateurs sont des entiers séquentiels.

GET [REDACTED — Cloud API host]/api/user/{user_id}

Données exposées par utilisateur :

URLs d'images de caméra prévisibles

Les URLs d'images de caméra suivent un schéma prévisible intégrant l'ID utilisateur séquentiel, l'ID d'appareil et l'horodatage. Une fois les ID utilisateur et appareil obtenus via l'IDOR, un attaquant peut construire des URLs valides pour accéder aux images de caméra de n'importe quel utilisateur sans authentification supplémentaire. La caméra Gardyn ne capture que des images fixes — aucun flux audio n'est enregistré ni exposé.

Impact

• Exposition de données personnelles identifiables (PII) pour 134 215+ utilisateurs via l'énumération séquentielle
• Accès aux images de l'intérieur des domiciles capturées par environ 115 000 caméras Gardyn
• Mappage complet utilisateur-appareil permettant des attaques ciblées
• Deux vecteurs indépendants : /api/users (sans authentification, liste complète des utilisateurs) et /api/user/{id} (IDOR séquentiel, données de n'importe quel utilisateur)
• Violation de la vie privée à grande échelle -- noms, e-mails, adresses physiques, données d'appareils, images de caméra

Services Azure disponibles pour cette classe de points de terminaison

Remédiation

Gardyn recommande de passer à la version 2.12.2026 ou ultérieure de l'API Cloud. Voir https://mygardyn.com/security/ pour plus d'informations.

Mesures d'atténuation recommandées pour les propriétaires d'appareils :

• Isolez l'appareil Gardyn sur un VLAN dédié ou un segment de réseau IoT
• Évaluez si la caméra intégrée capture des zones sensibles de votre domicile

Correctif recommandé pour le fournisseur :

1. Mettre en œuvre des contrôles d'autorisation appropriés sur tous les points de terminaison de données utilisateurs et d'appareils
2. Remplacer les ID entiers séquentiels par des identifiants non énumérables (UUID)
3. Valider que l'utilisateur authentifié est propriétaire de la ressource demandée avant de renvoyer les données
4. Renouveler les identifiants API et les retirer de Firebase Remote Config
5. Mettre en œuvre une limitation de débit sur les points de terminaison de consultation utilisateurs/appareils
6. Auditer les journaux d'accès pour détecter les schémas d'énumération

Chronologie

Références

• CVE-2026-25197 -- Fiche CVE
• ICSA-26-055-03
• CWE-639 : Contournement d'autorisation via une clé contrôlée par l'utilisateur

Crédits

Signalé par Michael Groberman — Gr0m à CISA.