CVE-2025-10681: ハードコードされた Azure Blob Storage アカウントキー

アドバイザリ

製品

概要

Azure Blob Storage のアカウントキーが、Gardyn デバイスのファームウェアとモバイルアプリケーションの両方にハードコードされています。このアカウントレベルの認証情報により、OTA ファームウェアアップデート、デバイスログ、約 115,000 台のデバイスからのカメラ画像を含む、すべての Blob コンテナへのアクセスが許可されます。

脆弱性の詳細

露出したストレージアカウント

アカウント名は削除済み — 攻撃者による悪用を減らすため、特定の Azure リソース識別子はこの公開情報から削除されています。

ハードコードされたキーにより、3 つの Azure Blob Storage アカウントにアクセスできます。これらは、カメラ静止画像、デバイスログ、OTA アップデート、タイムラプス動画 (静止画像から構成)、サムネイル画像を提供しており、すべてアカウントレベル (フルアクセス) の権限です。Gardyn カメラはオーディオストリームをキャプチャまたは保存しません。カメラ関連のメディアはすべて画像ベースです。

認証情報の場所

ストレージアカウントキーは以下に埋め込まれています:

1. デバイスファームウェア — /usr/local/etc/gardyn/ 配下の設定ファイル内に平文で存在
2. モバイルアプリケーション — index.android.bundle 内の React Native Hermes バイトコード

アクセス可能なコンテナ

コンテナ名は削除済み — 攻撃者による悪用を減らすため、特定のリソース識別子はこの公開情報から削除されています。

列挙により、住宅内部のカメラ画像 (約 115,000 台のカメラ)、デバイス診断ログ (5 年以上)、タイムラプス録画、ファームウェアアップデートパッケージを含むコンテナが明らかになりました。カメラ画像、ログ、OTA アップデートのコンテナには読み取り/書き込みアクセス権があります。

OTA ファームウェアコンテナへの書き込みアクセスは、ファームウェアアップデートパイプラインへのアーキテクチャレベルのアクセスを提供します。

影響

• 約 115,000 台の Gardyn カメラからの住宅内部のカメラ画像への読み取りアクセス
• OTA ファームウェアアップデートストレージへの読み取り/書き込みアクセス — サプライチェーン攻撃を可能にする
• 5 年以上にわたるデバイス診断ログへのアクセス
• 任意の Blob アップロードによるストレージコスト攻撃
• OTA ファームウェアアップデートパイプラインへのアーキテクチャレベルのアクセス

この種のエンドポイントで利用可能な Azure サービス

このアカウントキーは、約 115,000 枚の住宅内部のカメラ画像、5 年以上の診断ログ、OTA ファームウェアアップデートパイプラインを含む、すべてのコンテナへの無制限アクセスを提供します。

修復策

デバイス所有者向けの推奨緩和策:

• Gardyn デバイスを専用 VLAN または IoT ネットワークセグメントに分離する
• デバイスからの予期しないアウトバウンド接続を監視する

ベンダー向けの推奨修正:

1. すべての Azure Storage アカウントキーを直ちにローテーションする
2. ファームウェアとモバイルアプリケーションからハードコードされた認証情報を削除する
3. 最小限の権限を持つ、デバイス単位でスコープされた SAS トークンを実装する
4. すべてのコンテナをプライベートアクセスレベルに設定する
5. OTA ファームウェアパッケージにコード署名を実装する
6. ダウンロードしたファームウェアの整合性検証を追加する

タイムライン

参考情報

• CVE-2025-10681 — CVE レコード
• ICSA-26-055-03
• CWE-798: ハードコードされた認証情報の使用

クレジット

Michael Groberman — Gr0m により CISA に報告されました。