CVE-2026-13768 - Gardyn IoT Hub オーナーキー露出

[!WARNING] このリポジトリには、重大度の高いIoT脆弱性に対する完全に機能する概念実証（PoC）が含まれています。
このコードは教育目的、許可されたセキュリティ研究、および防御的テストのためだけに提供されます。

無断使用は違法です。 所有者からの明示的な書面による許可なしにシステムをテストまたは悪用することは、Computer Fraud and Abuse Act（CFAA）、EUサイバーレジリエンス法、およびお住まいの地域のその他の適用法律に違反します。
著者は、このコードに起因する誤用、損害、または法的結果について一切の責任を負いません。
常に法的・倫理的範囲内で運用してください。

概要

CVE-2026-13768 は、Gardyn スマートガーデンシステムにおいて IoT Hub のオーナーレベルの接続文字列を露出させ、Azure IoT Hub に対する完全な管理制御を可能にします。この PoC は、オーナーキーを持つ攻撃者が upgrade() クラウド・ツー・デバイスメソッドのコマンドインジェクションを介して接続デバイス上で**リモートコード実行（RCE）**を達成し、フリート全体の侵害を可能にすることを示します。

このスイートには以下が含まれます：

• validate.py: 受動的検証（ブルーチーム）に使用...
• poc.py: 「武器化エクスプロイトフレームワーク」（レッドチーム）...
• c2s.py: デモンストレーション用の軽量C2サーバー
• TEMPLATES.md: IoT/BusyBox環境向けに最適化された、すぐに使える**横移動（pingスイープ、ポートスキャン）および永続化（cron、systemd、init.dなど）**テンプレート

これは進行中の研究プロジェクトです - サプライチェーンおよびIoTクラウドの設定ミスを理解し防御するために、責任を持って使用してください。

機能

• 受動的検証：変更を加えずにオーナーキーの有効性を安全に確認し、デバイスを列挙します
• フリート列挙：IoT Hubに登録されているすべてのデバイスを一覧表示します
• リモートコード実行：upgrade() メソッドを介してコマンドを注入します（CVE-2025-29631 のコマンドインジェクションを利用）
• 横移動：侵害されたデバイスからのLANスキャンの例
• 永続化：アクセスを維持するためのテクニックの例
• OPSEC機能：ペイロードの難読化、操作ログ、オプションのTLSバイパス（ラボ用）
• C2統合：対話型セッションのためのシンプルなコマンド＆コントロールサーバー

ディレクトリ構造

.
├── poc.py              # Main weaponized exploitation script
├── validate.py         # Safe, read-only validation tool
├── c2s.py              # Lightweight C2 server for demos
├── TEMPLATES.md        # Ready-to-Use Command Templates.
├── README.md

依存関係

• Python 3.8+
• Azure IoT Hub SDK

インストール

1. リポジトリをクローンします：

   root@kitploit:~

   git clone https://github.com/J4ck3LSyN-Gen2/CVE-2026-13768.git
   cd CVE-2026-13768
   python3 -m venv venv
   

2. 仮想環境をアクティブにします（または作成します）：

   root@kitploit:~

   source venv/bin/activate
   python3 -m pip install --upgrade pip
   

3. 依存関係をインストールします。

python3 -m pip install azure-iot-hub

使用方法

1. 受動的検証（強く推奨）

python validate.py --conn-str "HostName=yourhub.azure-devices.net;SharedAccessKeyName=iothubowner;SharedAccessKey=..."

終了コード0 = アクセス可能なデバイスを持つ有効なオーナーキー。変更は行われません。

2. 完全な悪用（許可されたターゲットのみ）

python poc.py \
  --mode exploit \
  --conn-str "HostName=..." \
  --device-id "target-device-123" \
  --command "whoami" \
  --lateral-scan \
  --persist

主要な引数

完全なオプションについては python poc.py --help を実行してください。

3. C2サーバー（デモ）

python c2s.py --port 4444

動作の仕組み（技術概要）

1. キー検証 → Azure IoT Hub SDK を使用して iothubowner として認証します
2. 列挙 → デバイスレジストリとツインデータを取得します
3. RCEプリミティブ → upgrade() ダイレクトメソッドのコマンドインジェクションを悪用します
4. ポストエクスプロイテーション → オプションの横移動＋永続化ペイロード
5. 難読化 → 基本的な文字列エンコーディング（AES/カスタムへ容易に拡張可能）

注記：横移動および永続化コードは説明用のプレースホルダーです。ターゲットデバイスのOSと制約（例：BusyBox制限環境）に合わせて調整してください。

OPSECと安全性に関する考慮事項

• ロギング：デフォルトで /tmp/cve_2026_13768.log に書き込みます。実際のエンゲージメントでは暗号化された外部送信に置き換えてください。
• 難読化：提供されている obfuscate_cmd() / deobfuscate_cmd() 関数を拡張します。
• テスト：まず常に隔離されたラボ環境でテストしてください。
• クリーンアップ：ロールバック計画を用意してください。エクスプロイトはデバイスに痕跡を残す可能性があります。

参考情報

• CISA Advisory ICSA-26-183-03
• 関連するCVE-2025-29631
• Azure IoT Hub ドキュメント

コントリビューション

以下の分野へのコントリビューションを歓迎します：

• 難読化テクニックの改善
• 追加の永続化手法
• 防御的検出ルール
• より優れたC2統合

イシューまたはPRをオープンしてください。

大きな力には大きな責任が伴います。