CVE-2025-1242: 管理用IoT Hub認証情報の露出

アドバイザリ

製品

概要

Azure IoT Hubの管理用認証情報（iothubowner 共有アクセスポリシー）は、認証不要のAPI応答、モバイルアプリケーションのリバースエンジニアリング、デバイスファームウェアの解析など、複数の経路を通じて抽出可能です。この認証情報は、アーキテクチャ上すべての登録済みデバイスを管理するGardyn IoT Hubに対する管理制御を提供します。

脆弱性の詳細

認証情報

iothubowner 共有アクセスポリシーは、Azure IoT Hubで最も高い権限を持つ認証情報です。以下を許可します。

Microsoftのドキュメントには次のように記載されています。 「iothubowner ポリシーはすべての権限を持ち、細心の注意を払って使用する必要があります。これはバックエンドサービスの管理専用であり、クライアントに配布してはなりません。」

単一の iothubowner 接続文字列により、Gardyn IoT Hubへの管理アクセスが可能になります。

露出経路

認証情報は、複数の独立したチャネルを通じて露出していました。

1. 認証不要のAPIエンドポイント

認証不要のデバイスプロビジョニングエンドポイントが、管理用認証情報を任意の呼び出し元に返していました。認証は不要でした。このエンドポイントはインターネット上の誰でもアクセス可能でした。

リクエスト詳細は削除済み — 攻撃者による悪用を減らすため、具体的なエンドポイントパス、フィールド名、リクエスト構造はこの公開情報から削除されています。

その後、管理用認証情報フィールドはこのエンドポイントの応答から削除されました（部分的な修正）が、エンドポイントは依然として認証なしでデバイスレベルの認証情報を返しています。

2. 認証不要のユーザー列挙エンドポイント

認証不要のユーザー一覧エンドポイントが、登録されている全134,215ユーザーの完全なレコードを返していました。すべてのレコードに管理用認証情報が含まれており、単一のAPI応答に134,215件のコピーが存在しました。

リクエスト詳細は削除済み — 攻撃者による悪用を減らすため、具体的なエンドポイントパスとフィールド名はこの公開情報から削除されています。

このエンドポイントは、すべてのユーザーの機微な個人情報（氏名、メールアドレス、電話番号、部分的な支払いカード番号、連番のユーザーID（IDORを可能にする）、デバイスID、接続認証情報）も露出させていました。

CISA ICSA-26-055-03によると、この露出経路は公開された修正バージョンで改善されています。

3. モバイルアプリケーション

認証情報はReact Nativeアプリケーションバンドル（index.android.bundle内のHermesバイトコード）に埋め込まれています。また、Firebase Remote Configを介して配布されており、デバッグビルドでは認証情報がAndroidのlogcatに記録されます。

4. デバイスファームウェア

接続文字列は、/usr/local/etc/gardyn/ 下のデバイスファームウェアファイルに存在し、初期化中にクリアテキストでsyslogに記録されます。

露出期間

この認証情報は少なくとも2019年5月以降（APIエンドポイントの利用可能性に基づき6年以上）露出していました。ベンダーは以前のIoT Hub（[REDACTED — IoT Hub名]）から現在のハブ（[REDACTED — IoT Hub名]）に移行しましたが、同じ共有アクセスキーを再利用していたため、元の露出期間中に認証情報を取得した人は誰でもアクセスを維持できます。

ベンダーは、影響を受けるエンドポイントにアクセスログが存在しなかったことを確認しており、6年以上の露出期間中の不正アクセスの範囲は特定できません。

ベンダーはCISAに対し、露出期間中、影響を受けるエンドポイントにアクセスログが存在しなかったと述べました。ベンダーの公開セキュリティページは https://mygardyn.com/security/ です。

影響

iothubowner 認証情報を持つ攻撃者は以下が可能です。

• IoT Hubレジストリクエストを介した登録済みデバイスの列挙
• 登録済みデバイス上のダイレクトメソッドの呼び出し（コマンドインジェクションに対して脆弱な upgrade() メソッドを含む、CVE-2025-29631）
• デバイスツイン設定の読み取りと変更
• クラウドからデバイスへのメッセージの送信
• デバイス登録の作成または削除
• デバイス遠隔データへのアクセス

CVE-2025-29631と組み合わせることで、この認証情報は共有認証情報を使用するデバイス上でのルート権限によるリモートコード実行を可能にします（研究者自身のデバイスで確認済み）。

この認証情報が重要な理由

この認証情報は、IoT Hubホスト名と組み合わせることで、影響を受けるGardynデバイスフリートを管理するIoT Hubへの直接的な管理アクセスを許可していました。iothubowner 認証情報の機能はMicrosoftによって文書化されています（影響および参考文献のリンク先Azureドキュメントを参照）。CISAはこのCVEをCVSS 9.1（重大）と評価しました。

ICSA-26-055-03内の他のCVEは独立した発見として文書化されています。この認証情報の露出は、それらの脆弱性とは別個の問題ですが、複数の発見を保有する単一の攻撃者がシナリオによってはそれらを組み合わせる可能性があります。

このクラスのエンドポイントで利用可能なAzureサービス

Microsoft自身のドキュメントには明確に次のように記載されています。 「iothubowner ポリシーはすべての権限を持ち、細心の注意を払って使用する必要があります。これはバックエンドサービスの管理専用であり、クライアントに配布してはなりません。」

改善措置

デバイス所有者向け推奨緩和策:

• Gardynデバイスを専用のVLANまたはIoTネットワークセグメントに隔離する
• デバイスの予期しないネットワークアクティビティを監視する
• 機密システムを含むネットワークにデバイスを設置しない

ベンダー向け推奨修正:

1. iothubowner 共有アクセスキーを直ちにローテーションする
2. すべてのAPI応答、モバイルアプリケーションコード、Firebase Remote Configから管理用認証情報を削除する
3. Azure IoT Hub Device Provisioning Service (DPS) とX.509証明書を使用して、デバイスごとのスコープ付き認証情報を実装する
4. デバイスまたはハブの認証情報を返すすべてのAPIエンドポイントで認証を必須にする
5. 露出期間中のIoT Hubアクセスログを監査し、不正アクセスを確認する
6. 異常なIoT Hub管理操作の監視とアラートを実装する

タイムライン

参考文献

• CVE-2025-1242 — CVEレコード
• ICSA-26-055-03
• CSAF JSON
• CWE-798: ハードコードされた認証情報の使用
• Azure IoT Hubの共有アクセスポリシー

謝辞

Michael Groberman — Gr0m が CISA に報告しました。