CVE-2026-28767: 管理通知エンドポイントにおける認証欠如

アドバイザリ

項目	値
CVE	CVE-2026-28767
ICSA	ICSA-26-055-03 (Update A)
CVSS 3.1	5.3 (Medium)
Vector	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N`
CWE	CWE-306 (重要な機能に対する認証の欠如)
研究者	Michael Groberman — Gr0m
公開日	2026-04-02 (Update A)

製品

項目	値
ベンダー	Gardyn
製品	Gardyn Home Kit 1.0, 2.0, 3.0, 4.0; Gardyn Studio 1.0, 2.0
コンポーネント	Cloud API
影響を受けるバージョン	Cloud API < 2.12.2026

概要

/api/admin/notifications 管理エンドポイントは認証なしでアクセス可能であり、認証されていないユーザーに内部通知システムデータや管理通信を公開します。

脆弱性の詳細

認証されていないアクセス

管理通知エンドポイントは、認証や承認制御なしで公開アクセス可能です：

GET [REDACTED — Cloud API host]/api/admin/notifications
Authentication: NONE

公開されるデータ

認証されていないエンドポイントは以下へのアクセスを提供します：

内部通知システムデータとメッセージテンプレート
管理通信とシステムアラート
プッシュ通知設定と配信ステータス
ユーザー通知設定とターゲティングデータ

体系的なパターン

このエンドポイントは、Gardyn の /api/admin/* パスにおける認証欠如の広範なパターンの一部です。/api/admin/devices（CVE-2026-32646）と /api/admin/notifications の両方に認証が欠けており、管理 API 名前空間全体がアクセス制御なしでデプロイされた可能性を示唆しています。

影響

内部管理通信の情報漏洩
運用プロセスやシステムイベントの可視性
通知テンプレートとターゲティングデータの露出
システム動作、ユーザーエンゲージメントパターン、管理ワークフローを特定するための偵察価値
書き込み操作が公開されている場合の通知の注入や改ざんの可能性

この種のエンドポイントで利用可能な標準サービス

サービス	目的
Azure App Service Authentication (Easy Auth)	組み込み認証ミドルウェア — 単一の切り替えですべてのエンドポイントを保護
Azure App Service Access Restrictions	特定のエンドポイントに到達できるユーザーを制限する IP ベースまたは VNet ベースのアクセスルール

修正

Gardyn は Cloud API バージョン 2.12.2026 以降へのアップグレードを推奨しています。詳細については https://mygardyn.com/security/ を参照してください。

ベンダー向け推奨修正:

すべての /api/admin/* エンドポイントで管理認証を必須にする
管理操作にロールベースのアクセス制御を実装する
/api/admin/ パス配下のすべてのエンドポイントで認証欠如を監査する
管理エンドポイントを別のアクセス制御されたパスの背後に配置する
管理エンドポイントへの不正アクセスに関するアクセスログを監査する

タイムライン

日付	イベント
2025-10-14	ベンダーへの初回開示
2025-12-11	CERT/CC への開示
2026-02-24	ICSA-26-055-03 公開（初版）
2026-04-02	ICSA-26-055-03 Update A -- CVE-2026-28767 追加

参考文献

クレジット

Michael Groberman — Gr0m 氏により CISA に報告されました。

CVE-2026-28767

人気