CVE-2026-32662: Codice di Debug Attivo in Produzione

Avviso

Campo	Valore
CVE	CVE-2026-32662
ICSA	ICSA-26-055-03 (Aggiornamento A)
CVSS 3.1	5.3 (Medio)
Vettore	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CWE	CWE-489 (Codice di Debug Attivo)
Ricercatore	Michael Groberman — Gr0m
Pubblicato	2026-04-02 (Aggiornamento A)

Prodotto

Campo	Valore
Fornitore	Gardyn
Prodotto	Gardyn Home Kit 1.0, 2.0, 3.0, 4.0; Gardyn Studio 1.0, 2.0
Componente	Cloud API
Versioni Affette	Cloud API < 2.12.2026

Sommario

Nell'ambiente di produzione sono presenti endpoint API di sviluppo e test che replicano le funzionalità di produzione. Questi endpoint hanno storicamente fornito accesso a credenziali di produzione con controlli di autenticazione ridotti o assenti. Inoltre, credenziali e configurazioni di sviluppo sono incorporate nelle build dell'applicazione mobile e del pannello amministrativo di produzione.

Dettaglio delle Vulnerabilità

Endpoint API di Sviluppo

Sono stati scoperti molteplici endpoint API di sviluppo e test che parallellizzano l'infrastruttura di produzione:

Endpoint	Scopo	Stato
[REDATTO — Host API di sviluppo #1]	API di sviluppo	403 Forbidden (bloccato)
[REDATTO — Host API di sviluppo #2]	API di sviluppo	Sconosciuto

Perdita Storica di Credenziali

L'API di sviluppo ha storicamente accettato le stesse richieste di provisioning della produzione e restituito credenziali di produzione complete, inclusa la credenziale iothubowner dell'IoT Hub (CVE-2025-1242) — senza autenticazione.

L'ambiente di sviluppo era configurato con credenziali di produzione, il che significa che una compromissione dell'ambiente di sviluppo meno sicuro garantiva accesso completo alla flotta dell'IoT Hub di produzione.

Credenziali di Sviluppo nelle Build di Produzione

Credenziali e configurazioni dell'ambiente di sviluppo sono state trovate incorporate negli artefatti dell'applicazione di produzione:

Applicazione mobile (index.android.bundle):

• Nomi host e endpoint API di sviluppo
• Credenziali del progetto Firebase di sviluppo
• Stringhe di connessione dell'ambiente di test/staging

Pacchetto JavaScript del pannello amministrativo (admin.gardyn.io):

• Endpoint API di sviluppo trapelato nel bundle di produzione ([REDATTO — Host API di sviluppo])
• Credenziali dell'ambiente di sviluppo
• Parametri di configurazione di debug
• Identificatori interni delle risorse Azure

Enumerazione degli Endpoint API di Produzione

L'analisi dei bundle di produzione e della configurazione remota di Firebase ha rivelato l'intera superficie API di produzione:

Endpoint	Scopo
[REDATTO — Host di produzione]	API di produzione principale
[REDATTO — Host legacy]	API legacy
[REDATTO — Host ordini]	Elaborazione ordini
[REDATTO — Host servizio Kelby]	Livello servizio assistente AI
[REDATTO — Host API dati]	API dati

Stato Attuale

Gli endpoint di sviluppo ora restituiscono risposte 403 Forbidden, indicando che sono stati bloccati ma l'infrastruttura rimane distribuita. Le credenziali di sviluppo rimangono incorporate nelle build dell'applicazione mobile pubblicate.

Impatto

• Perdita storica di credenziali tramite endpoint di sviluppo (la chiave iothubowner di produzione era accessibile)
• Credenziali di sviluppo nelle build di produzione consentono la scoperta dell'ambiente e la ricognizione mirata
• Ambienti di sviluppo paralleli con credenziali di produzione creano percorsi di attacco alternativi
• L'enumerazione della superficie API interna facilita lo sfruttamento di altre vulnerabilità
• Rischio di futura riesposizione se i controlli di accesso sugli endpoint di sviluppo vengono allentati

Servizi Standard Disponibili per Questa Classe di Endpoint

Azure fornisce controlli integrati di separazione degli ambienti e distribuzione che impediscono al codice di sviluppo di raggiungere la produzione:

Servizio	Scopo
Slot di distribuzione di Azure App Service	Separare ambienti di staging/sviluppo con configurazioni indipendenti — scambiare in produzione solo dopo la convalida
Variabili d'ambiente di Azure App Service	Impostazioni di configurazione per slot che impediscono la comparsa di credenziali di produzione in ambienti non di produzione
Cancelli di ambiente di GitHub Actions / Azure DevOps	Controlli della pipeline CI/CD che verificano l'assenza di artefatti di debug o credenziali di sviluppo prima della distribuzione

Rimedio

Gardyn consiglia di aggiornare alla versione 2.12.2026 o successiva di Cloud API. Vedere https://mygardyn.com/security/ per ulteriori informazioni.

Correzione consigliata per il fornitore:

1. Disattivare completamente gli endpoint di sviluppo instradabili pubblicamente
2. Implementare la segmentazione di rete isolando gli ambienti non di produzione da Internet
3. Non utilizzare mai credenziali di produzione negli ambienti di sviluppo
4. Rimuovere nomi host, credenziali e configurazioni di debug di sviluppo dalle build dell'applicazione di produzione
5. Rimuovere simboli di debug, percorsi di build e metadati dell'ambiente dai bundle di produzione
6. Implementare una pipeline di build che convalidi l'assenza di artefatti di sviluppo nelle build di rilascio
7. Condurre audit regolari degli endpoint esposti di Azure Web App

Cronologia

Data	Evento
2025-10-14	Divulgazione iniziale al fornitore
2025-12-11	Divulgazione a CERT/CC
2026-02-24	ICSA-26-055-03 pubblicato (iniziale)
2026-04-02	ICSA-26-055-03 Aggiornamento A -- CVE-2026-32662 aggiunto

Riferimenti

• CVE-2026-32662 -- Record CVE
• ICSA-26-055-03
• CWE-489: Codice di Debug Attivo

Crediti

Segnalato da Michael Groberman — Gr0m a CISA.