CVE-2026-32646: Autenticazione mancante sull'endpoint amministrativo di gestione dispositivi

Avviso

Prodotto

Sommario

L'endpoint amministrativo /api/admin/devices per la gestione dei dispositivi è accessibile senza autenticazione. Questo endpoint espone l'enumerazione dei dispositivi, il recupero dei metadati e le funzioni di gestione dei dispositivi destinate esclusivamente all'uso amministrativo.

Dettagli della vulnerabilità

Accesso amministrativo non autenticato

L'endpoint amministrativo di gestione dei dispositivi è pubblicamente accessibile senza alcun controllo di autenticazione o autorizzazione:

GET [REDACTED — Cloud API host]/api/admin/devices
Authentication: NONE

Funzioni esposte

L'endpoint non autenticato consente:

• Enumerazione dei dispositivi -- elenca tutti i dispositivi registrati nella flotta
• Metadati dei dispositivi -- numeri di serie, versioni firmware, stato online/offline, timestamp dell'ultima attività
• Associazione dispositivo-utente -- quale utente possiede quale dispositivo
• Operazioni di gestione dei dispositivi -- operazioni CRUD amministrative sui record dei dispositivi

Relazione con altre scoperte

Questo endpoint fornisce un percorso alternativo all'enumerazione dei dispositivi che non richiede le credenziali IoT Hub (CVE-2025-1242). Mentre CVE-2025-1242 consente l'enumerazione tramite il registro Azure IoT Hub, questo endpoint consente l'enumerazione tramite l'API backend di Gardyn -- due percorsi indipendenti verso gli stessi dati.

Combinato con CVE-2026-25197 (IDOR), gli ID dei dispositivi ottenuti da questo endpoint possono essere utilizzati per accedere ai dati personali (PII) degli utenti tramite l'API REST.

Impatto

• Enumerazione completa della flotta di dispositivi senza autenticazione (~138.160 dispositivi registrati)
• L'esposizione dei metadati dei dispositivi (numeri di serie, versioni firmware, stato) consente attacchi mirati
• La correlazione dispositivo-utente consente violazioni della privacy su larga scala
• Fornisce dati di ricognizione per sfruttare CVE-2025-1242 (credenziali IoT Hub) e CVE-2025-29631 (iniezione di comandi)
• L'esposizione delle funzioni amministrative può consentire la manipolazione dei dispositivi

Servizi standard disponibili per questa classe di endpoint

Rimedio

Gardyn consiglia di aggiornare alla versione 2.12.2026 o successiva di Cloud API. Per ulteriori informazioni, vedere https://mygardyn.com/security/.

Mitigazioni consigliate per i proprietari dei dispositivi:

• Isolare il dispositivo Gardyn su una VLAN dedicata o su un segmento di rete IoT

Correzione consigliata per il fornitore:

1. Richiedere l'autenticazione amministrativa su tutti gli endpoint /api/admin/*
2. Implementare il controllo degli accessi basato sui ruoli separando le operazioni amministrative da quelle degli utenti
3. Posizionare gli endpoint amministrativi dietro un percorso separato con controllo degli accessi (non sull'API pubblica)
4. Verificare i log di accesso degli endpoint amministrativi per individuare accessi non autorizzati
5. Implementare il rate limiting sugli endpoint di elenco dei dispositivi

Cronologia

Riferimenti

• CVE-2026-32646 -- Record CVE
• ICSA-26-055-03
• CWE-306: Autenticazione mancante per funzione critica

Crediti

Segnalato da Michael Groberman — Gr0m a CISA.