CVE-2026-32662: 本番環境におけるアクティブデバッグコード

勧告

製品

概要

本番機能をミラーリングする開発用およびテスト用のAPIエンドポイントが本番環境に存在しています。これらのエンドポイントは、従来、認証制御が弱体化または欠如した状態で本番資格情報へのアクセスを提供していました。さらに、開発用の資格情報と構成が、本番のモバイルアプリケーションおよび管理パネルのビルドに埋め込まれています。

脆弱性の詳細

開発用APIエンドポイント

本番インフラストラクチャと並行する複数の開発用およびテスト用APIエンドポイントが発見されました:

過去の資格情報漏えい

開発用APIは従来、本番と同じプロビジョニングリクエストを受け入れ、認証なしで、IoT Hubのiothubowner資格情報（CVE-2025-1242）を含む完全な本番資格情報を返していました。

開発環境には本番資格情報が設定されていたため、セキュリティ保護が不十分な開発環境が侵害されると、本番のIoT Hubフリートへの完全なアクセスが許可されることになりました。

本番ビルドに埋め込まれた開発資格情報

開発環境の資格情報と構成が、本番アプリケーションの成果物に埋め込まれていることが判明しました:

モバイルアプリケーション（index.android.bundle）:

• 開発用APIのホスト名とエンドポイント
• Firebase開発プロジェクトの資格情報
• テスト/ステージング環境の接続文字列

管理パネルのJavaScriptバンドル（admin.gardyn.io）:

• 本番バンドルに漏えいした開発用APIエンドポイント（[編集済み — 開発APIホスト]）
• 開発環境の資格情報
• デバッグ構成パラメータ
• 内部Azureリソース識別子

本番APIエンドポイントの列挙

本番バンドルとFirebase Remote Configの分析により、本番APIの全サーフェスが明らかになりました:

現在のステータス

開発用エンドポイントは現在403 Forbidden応答を返しており、ブロックされているものの、インフラストラクチャは展開されたままであることを示しています。開発資格情報は、公開済みのモバイルアプリケーションビルドに埋め込まれたままです。

影響

• 開発用エンドポイントを介した過去の資格情報漏えい（本番のiothubownerキーにアクセス可能）
• 本番ビルド内の開発資格情報により、環境の探索と標的型リコンサンスが可能になる
• 本番資格情報を持つ並行した開発環境が、代替の攻撃経路を生み出す
• 内部APIサーフェスの列挙が、他の脆弱性の悪用を助長する
• 開発用エンドポイントのアクセス制御が緩和された場合、将来的に再露出するリスク

この種のエンドポイントで利用可能な標準サービス

Azureは、開発コードが本番に到達するのを防ぐ、組み込みの環境分離およびデプロイメント制御を提供しています:

修復

Gardynは、Cloud APIバージョン2.12.2026以降へのアップグレードを推奨しています。追加情報については、https://mygardyn.com/security/ を参照してください。

ベンダー向けの推奨修正:

1. 公的にルーティング可能な開発用エンドポイントを完全に廃止する
2. 非本番環境をインターネットから分離するネットワークセグメンテーションを実装する
3. 開発環境で本番資格情報を使用しない
4. 本番アプリケーションビルドから開発用ホスト名、資格情報、デバッグ構成を削除する
5. 本番バンドルからデバッグシンボル、ビルドパス、環境メタデータを除去する
6. リリースビルドに開発成果物が存在しないことを検証するビルドパイプラインを実装する
7. 露出したAzure Web Appエンドポイントの定期的な監査を実施する

タイムライン

参考情報

• CVE-2026-32662 -- CVEレコード
• ICSA-26-055-03
• CWE-489: アクティブデバッグコード

クレジット

Michael Groberman — Gr0m 氏によりCISAに報告されました。