CVE-2026-32662: Code de Débogage Actif en Production

Avis

Produit

Résumé

Des points d'API de développement et de test sont présents dans l'environnement de production qui reflètent les fonctionnalités de production. Ces points d'API ont historiquement fourni un accès aux identifiants de production avec des contrôles d'authentification réduits ou absents. De plus, des identifiants et configurations de développement sont intégrés dans les applications mobiles de production et les versions du panneau d'administration.

Détails de la Vulnérabilité

Points d'API de Développement

Plusieurs points d'API de développement et de test ont été découverts, parallèles à l'infrastructure de production :

Fuites Historiques d'Identifiants

L'API de développement acceptait historiquement les mêmes requêtes de provisionnement que la production et renvoyait les identifiants complets de production, y compris l'identifiant iothubowner de l'IoT Hub (CVE-2025-1242) — sans authentification.

L'environnement de développement était configuré avec les identifiants de production, ce qui signifie qu'une compromission de l'environnement de développement moins sécurisé accordait un accès complet à la flotte d'IoT Hub de production.

Identifiants de Développement dans les Versions de Production

Les identifiants et configurations de l'environnement de développement ont été trouvés intégrés dans les artefacts des applications de production :

Application mobile (index.android.bundle):

• Noms d'hôtes et points d'API de développement
• Identifiants du projet de développement Firebase
• Chaînes de connexion des environnements de test/préproduction

Bundle JavaScript du panneau d'administration (admin.gardyn.io):

• Point d'API de développement divulgué dans le bundle de production ([REDACTED — Dev API host])
• Identifiants de l'environnement de développement
• Paramètres de configuration de débogage
• Identifiants de ressources Azure internes

Énumération des Points d'API de Production

L'analyse des bundles de production et de Firebase Remote Config a révélé la surface d'API de production complète :

Statut Actuel

Les points d'API de développement renvoient maintenant des réponses 403 Interdit, indiquant qu'ils ont été bloqués mais que l'infrastructure reste déployée. Les identifiants de développement restent intégrés dans les versions d'applications mobiles publiées.

Impact

• Fuites historiques d'identifiants via les points d'API de développement (la clé iothubowner de production était accessible)
• Les identifiants de développement dans les versions de production permettent la découverte de l'environnement et la reconnaissance ciblée
• Des environnements de développement parallèles avec des identifiants de production créent des voies d'attaque alternatives
• L'énumération de la surface d'API interne facilite l'exploitation d'autres vulnérabilités
• Risque de ré-exposition future si les contrôles d'accès sur les points d'API de développement sont assouplis

Services Standards Disponibles pour Cette Classe de Point d'API

Azure fournit une séparation intégrée des environnements et des contrôles de déploiement qui empêchent le code de développement d'atteindre la production :

Correction

Gardyn recommande de mettre à niveau vers la version 2.12.2026 de l'API Cloud ou ultérieure. Voir https://mygardyn.com/security/ pour plus d'informations.

Correctif recommandé pour le fournisseur :

1. Décommissionner entièrement les points d'API de développement routables publiquement
2. Mettre en œuvre une segmentation réseau isolant les environnements non productifs d'Internet
3. Ne jamais utiliser d'identifiants de production dans les environnements de développement
4. Supprimer les noms d'hôtes de développement, les identifiants et la configuration de débogage des versions d'applications de production
5. Supprimer les symboles de débogage, les chemins de construction et les métadonnées d'environnement des bundles de production
6. Mettre en œuvre un pipeline de construction qui valide l'absence d'artefacts de développement dans les versions de publication
7. Effectuer des audits réguliers des points d'API Azure Web App exposés

Chronologie

Références

• CVE-2026-32662 -- Enregistrement CVE
• ICSA-26-055-03
• CWE-489 : Code de Débogage Actif

Crédits

Signalé par Michael Groberman — Gr0m à la CISA.