CERT/CC VU#653116 | Avis CISA ICSA-26-055-03 | Toutes les CVE | Dépôt de cas

CVE-2026-32662 : Code de débogage actif en production

Avis

Produit

Résumé

Des points de terminaison d'API de développement et de test sont présents dans l'environnement de production et reflètent les fonctionnalités de production. Ces points de terminaison ont historiquement fourni un accès aux identifiants de production avec des contrôles d'authentification réduits ou absents. De plus, des identifiants et une configuration de développement sont intégrés dans les versions de production des applications mobiles et du panneau d'administration.

Détails de la vulnérabilité

Points de terminaison d'API de développement

Plusieurs points de terminaison d'API de développement et de test ont été découverts, parallèles à l'infrastructure de production :

Fuite historique d'identifiants

L'API de développement acceptait historiquement les mêmes demandes d'approvisionnement que la production et renvoyait les identifiants complets de production, y compris l'identifiant iothubowner de l'IoT Hub (CVE-2025-1242) — sans authentification.

L'environnement de développement était configuré avec les identifiants de production, ce qui signifie qu'un compromis de l'environnement de développement, moins sécurisé, accordait un accès complet à la flotte de l'IoT Hub de production.

Identifiants de développement dans les versions de production

Des identifiants et une configuration de l'environnement de développement ont été trouvés intégrés dans les artefacts d'application de production :

Application mobile (index.android.bundle) :

• Noms d'hôtes et points de terminaison de l'API de développement
• Identifiants du projet de développement Firebase
• Chaînes de connexion des environnements de test/préproduction

Bundle JavaScript du panneau d'administration (admin.gardyn.io) :

• Point de terminaison de l'API de développement divulgué dans le bundle de production ([MASQUÉ — Hôte API de développement])
• Identifiants de l'environnement de développement
• Paramètres de configuration de débogage
• Identifiants internes des ressources Azure

Énumération des points de terminaison de l'API de production

L'analyse des bundles de production et de Firebase Remote Config a révélé la surface complète de l'API de production :

Statut actuel

Les points de terminaison de développement renvoient désormais des réponses 403 Interdit, ce qui indique qu'ils ont été bloqués, mais l'infrastructure reste déployée. Les identifiants de développement restent intégrés dans les versions publiées de l'application mobile.

Impact

• Fuite historique d'identifiants via les points de terminaison de développement (la clé iothubowner de production était accessible)
• Les identifiants de développement dans les versions de production permettent la découverte de l'environnement et une reconnaissance ciblée
• Les environnements de développement parallèles avec des identifiants de production créent des chemins d'attaque alternatifs
• L'énumération de la surface de l'API interne facilite l'exploitation d'autres vulnérabilités
• Risque de réexposition future si les contrôles d'accès sur les points de terminaison de développement sont assouplis

Services standard disponibles pour cette classe de point de terminaison

Azure fournit des contrôles intégrés de séparation des environnements et de déploiement qui empêchent le code de développement d'atteindre la production :

Remédiation

Gardyn recommande de mettre à niveau vers la version 2.12.2026 ou ultérieure de l'API cloud. Voir https://mygardyn.com/security/ pour plus d'informations.

Correctif recommandé pour le fournisseur :

1. Décommissionner entièrement les points de terminaison de développement routables publiquement
2. Mettre en œuvre une segmentation réseau isolant les environnements hors production d'Internet
3. Ne jamais utiliser d'identifiants de production dans les environnements de développement
4. Supprimer les noms d'hôtes de développement, les identifiants et la configuration de débogage des versions d'application de production
5. Retirer les symboles de débogage, les chemins de compilation et les métadonnées d'environnement des bundles de production
6. Mettre en œuvre un pipeline de compilation qui valide l'absence d'artefacts de développement dans les versions finales
7. Effectuer des audits réguliers des points de terminaison Azure Web App exposés

Chronologie

Références

• CVE-2026-32662 -- Enregistrement CVE
• ICSA-26-055-03
• CWE-489 : Code de débogage actif

Crédit

Signalé par Michael Groberman — Gr0m à la CISA.