CVE-2026-32646: 管理用デバイス管理エンドポイントにおける認証欠如

勧告

製品

概要

デバイス管理のための管理用エンドポイント/api/admin/devicesは、認証なしでアクセス可能です。このエンドポイントは、管理用途のみを目的としたデバイスの列挙、メタデータの取得、およびデバイス管理機能を公開します。

脆弱性の詳細

認証されていない管理アクセス

管理デバイス管理エンドポイントは、認証や認可の制御なしに公開アクセス可能です:

GET [REDACTED — Cloud API host]/api/admin/devices
Authentication: NONE

公開される機能

認証されていないエンドポイントにより、以下が可能になります:

• デバイスの列挙 -- フリート内の全登録デバイスの一覧表示
• デバイスのメタデータ -- シリアル番号、ファームウェアバージョン、オンライン/オフラインステータス、最終更新タイムスタンプ
• デバイスとユーザーのマッピング -- どのユーザーがどのデバイスを所有しているか
• デバイス管理操作 -- デバイスレコードに対する管理用CRUD操作

他の発見との関係

このエンドポイントは、IoT Hubの資格情報（CVE-2025-1242）を必要としないデバイス列挙への代替経路を提供します。CVE-2025-1242がAzure IoT Hubレジストリ経由での列挙を可能にする一方、このエンドポイントはGardynバックエンドAPI経由での列挙を可能にします。これは同じデータへの2つの独立した経路です。

CVE-2026-25197（IDOR）と組み合わせることで、このエンドポイントから得られたデバイスIDを使用して、REST API経由でユーザーの個人情報にアクセスすることが可能になります。

影響

• 認証なしでの完全なデバイスフリートの列挙（約138,160台の登録デバイス）
• デバイスメタデータの漏洩（シリアル、ファームウェアバージョン、ステータス）により標的型攻撃が可能
• デバイスとユーザーの関連付けにより大規模なプライバシー侵害が可能
• CVE-2025-1242（IoT Hub資格情報）およびCVE-2025-29631（コマンドインジェクション）の悪用のための偵察データを提供
• 管理機能の露出によりデバイスの操作が可能になる可能性

このクラスのエンドポイントで利用可能な標準サービス

修復

Gardynは、Cloud APIバージョン2.12.2026以降へのアップグレードを推奨しています。詳細については、https://mygardyn.com/security/ を参照してください。

デバイス所有者向けの推奨緩和策:

• Gardynデバイスを専用のVLANまたはIoTネットワークセグメントに隔離する

ベンダー向けの推奨修正:

1. 全ての/api/admin/*エンドポイントで管理認証を要求する
2. 管理操作とユーザー操作を分離するロールベースのアクセス制御を実装する
3. 管理エンドポイントを別のアクセス制御されたパスの背後に配置する（公開API上ではない）
4. 管理エンドポイントのアクセスログを不正アクセスがないか監査する
5. デバイス一覧エンドポイントにレート制限を実装する

タイムライン

参考情報

• CVE-2026-32646 -- CVEレコード
• ICSA-26-055-03
• CWE-306: 重要な機能に対する認証の欠如

クレジット

Michael Groberman — Gr0mからCISAに報告されました。