CVE-2026-25197: ユーザー制御キーによる認証バイパス (IDOR)

勧告

製品

概要

2つのREST APIエンドポイントは、ユーザーごとの認可チェックなしでユーザーデータを返します：

• /api/users は全ユーザーリストを返します。認証は不要です。
• /api/user/{id} は {id} で識別されるユーザーのプロファイルを返します。リクエスト側がそのユーザーのレコードにアクセスする権限があるかどうかの検証は行われません。

ユーザー識別子は連続した整数であるため、/api/user/{id} エンドポイントを介して134,215以上のユーザーアカウントとその関連デバイスを列挙することが可能です。

脆弱性の詳細

未認証のユーザー一覧

/api/users エンドポイントは未認証のリクエストを受け付け、完全なユーザーリストを返します。このエンドポイントでは認証、レート制限、アクセスログは一切行われません。

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

ユーザープロファイルエンドポイント — IDOR

/api/user/{id} エンドポイントは、パスパラメータとしてユーザーIDを受け取り、対応するユーザーのプロファイルを返します。このエンドポイントは、リクエスト側が要求されたユーザーに関連付けられているかどうかの認可チェックを行いません。ユーザーIDは連続した整数です。

GET [REDACTED — Cloud API host]/api/user/{user_id}

ユーザーごとに公開されるデータ:

予測可能なカメラ画像URL

カメラ画像URLは、連続したユーザーID、デバイスID、タイムスタンプを組み込んだ予測可能なパターンに従います。IDORを介してユーザーIDとデバイスIDを取得すると、攻撃者は追加の認証なしに任意のユーザーのカメラ画像にアクセスするための有効なURLを構築できます。Gardynカメラは静止画像のみをキャプチャします。音声ストリームは記録も公開もされません。

影響

• 134,215以上のユーザーのPIIが連続列挙により露出
• 約115,000台のGardynカメラからの家庭内カメラ画像へのアクセス
• 完全なユーザー対デバイスマッピングにより標的型攻撃が可能に
• 2つの独立したベクター: /api/users (認証不要、全ユーザーリスト) と /api/user/{id} (連続IDOR、任意のユーザーデータ)
• 大規模なプライバシー侵害 — 氏名、メールアドレス、物理的住所、デバイスデータ、カメラ画像

この種のエンドポイントで利用可能なAzureサービス

対応策

GardynはCloud APIバージョン2.12.2026以降へのアップグレードを推奨します。詳細については https://mygardyn.com/security/ を参照してください。

デバイス所有者におすすめの緩和策:

• Gardynデバイスを専用のVLANまたはIoTネットワークセグメントに隔離する
• 内蔵カメラが自宅の機密エリアを撮影しているかどうかを検討する

ベンダー向け推奨修正:

1. すべてのユーザーデータおよびデバイスデータエンドポイントで適切な認可チェックを実装する
2. 連続整数IDを列挙不可能な識別子（UUID）に置き換える
3. データを返す前に、認証されたユーザーが要求されたリソースを所有していることを検証する
4. API認証情報をローテーションし、Firebase Remote Configから削除する
5. ユーザー/デバイス検索エンドポイントにレート制限を実装する
6. 列挙パターンについてアクセスログを監査する

タイムライン

参考文献

• CVE-2026-25197 -- CVE Record
• ICSA-26-055-03
• CWE-639: Authorization Bypass Through User-Controlled Key

クレジット

Michael Groberman — Gr0m によりCISAに報告されました。