CVE-2025-10681: Chiave dell'account Azure Blob Storage hardcoded

Avviso

Prodotto

Sintesi

Una chiave dell'account Azure Blob Storage è hardcoded sia nel firmware del dispositivo Gardyn sia nell'applicazione mobile. Questa credenziale a livello di account concede l'accesso a tutti i contenitori blob, inclusi gli aggiornamenti firmware OTA, i log dei dispositivi e le immagini delle telecamere di circa 115.000 dispositivi.

Dettagli della vulnerabilità

Account di archiviazione esposti

Nomi degli account rimossi — Gli identificatori specifici delle risorse Azure sono stati rimossi da questa divulgazione pubblica per ridurre la possibilità di attacco.

Tre account Azure Blob Storage sono accessibili tramite la chiave hardcoded. Servono immagini fisse delle telecamere, log dei dispositivi, aggiornamenti OTA, video timelapse (costruiti da immagini fisse) e miniature — tutti con permessi a livello di account (accesso completo). La telecamera Gardyn non cattura né memorizza flussi audio; tutti i contenuti multimediali legati alla telecamera sono basati su immagini.

Posizione della credenziale

La chiave dell'account di archiviazione è incorporata in:

1. Firmware del dispositivo — testo in chiaro nei file di configurazione in /usr/local/etc/gardyn/
2. Applicazione mobile — bytecode React Native Hermes in index.android.bundle

Contenitori accessibili

Nomi dei contenitori rimossi — Gli identificatori specifici delle risorse sono stati rimossi da questa divulgazione pubblica per ridurre la possibilità di attacco.

L'enumerazione ha rivelato contenitori contenenti immagini delle telecamere degli interni domestici (~115.000 telecamere), log diagnostici dei dispositivi (5+ anni), registrazioni timelapse e pacchetti di aggiornamento firmware. I contenitori delle immagini delle telecamere, dei log e degli aggiornamenti OTA hanno accesso in lettura/scrittura.

L'accesso in scrittura al contenitore firmware OTA fornisce accesso architetturale alla pipeline di aggiornamento firmware.

Impatto

• Accesso in lettura alle immagini delle telecamere degli interni domestici di circa 115.000 telecamere Gardyn
• Accesso in lettura/scrittura all'archiviazione degli aggiornamenti firmware OTA — consente attacchi alla supply chain
• Accesso a oltre 5 anni di log diagnostici dei dispositivi
• Attacchi ai costi di archiviazione tramite caricamenti arbitrari di blob
• Accesso architetturale alla pipeline di aggiornamento firmware OTA

Servizi Azure disponibili per questa classe di endpoint

La chiave dell'account fornisce accesso illimitato a tutti i contenitori, incluse circa 115.000 immagini delle telecamere degli interni domestici, oltre 5 anni di log diagnostici e la pipeline di aggiornamento firmware OTA.

Rimedi

Mitigazioni consigliate per i proprietari dei dispositivi:

• Isolare il dispositivo Gardyn su una VLAN dedicata o su un segmento di rete IoT
• Monitorare le connessioni in uscita inaspettate dal dispositivo

Correzione consigliata per il fornitore:

1. Ruotare immediatamente tutte le chiavi degli account Azure Storage
2. Rimuovere le credenziali hardcoded dal firmware e dall'applicazione mobile
3. Implementare token SAS con ambito per dispositivo e permessi minimi
4. Impostare tutti i contenitori a livello di accesso privato
5. Implementare la firma del codice per i pacchetti firmware OTA
6. Aggiungere la verifica dell'integrità per il firmware scaricato

Cronologia

Riferimenti

• CVE-2025-10681 — Scheda CVE
• ICSA-26-055-03
• CWE-798: Uso di credenziali hardcoded

Crediti

Segnalato da Michael Groberman — Gr0m a CISA.