CERT/CC VU#653116 | CISA Advisory ICSA-26-055-03 | All CVEs | Case Repository

CVE-2026-32662: 本番環境に存在するアクティブなデバッグコード

勧告

製品

概要

本番環境に、本番機能をミラーリングする開発用およびテスト用のAPIエンドポイントが存在しています。これらのエンドポイントは、過去に認証制御が削減または欠如した状態で本番資格情報へのアクセスを提供していました。さらに、開発用資格情報と設定が本番モバイルアプリケーションおよび管理パネルのビルドに埋め込まれています。

脆弱性の詳細

開発用APIエンドポイント

本番インフラストラクチャと並行する複数の開発用およびテスト用APIエンドポイントが発見されました:

過去の資格情報漏洩

開発用APIは、過去に本番と同じプロビジョニングリクエストを受け入れ、認証なしでIoT Hubのiothubowner資格情報 (CVE-2025-1242) を含む完全な本番資格情報を返していました。

開発環境は本番資格情報で構成されていたため、セキュリティが低い開発環境が侵害されると、本番IoT Hubフリートへの完全なアクセスが可能になりました。

本番ビルドに埋め込まれた開発用資格情報

開発環境の資格情報と設定が本番アプリケーションの成果物に埋め込まれていることが判明しました:

モバイルアプリケーション (index.android.bundle):

• 開発用APIホスト名とエンドポイント
• Firebase開発プロジェクト資格情報
• テスト/ステージング環境の接続文字列

管理パネルJavaScriptバンドル (admin.gardyn.io):

• 本番バンドルに漏洩した開発用APIエンドポイント ([REDACTED — Dev API host])
• 開発環境資格情報
• デバッグ設定パラメータ
• 内部Azureリソース識別子

本番APIエンドポイントの列挙

本番バンドルとFirebase Remote Configの分析により、完全な本番APIサーフェスが明らかになりました:

現在のステータス

開発用エンドポイントは現在403 Forbidden応答を返しており、ブロックされているもののインフラストラクチャは引き続きデプロイされています。開発用資格情報は公開されているモバイルアプリケーションビルドに埋め込まれたままです。

影響

• 開発用エンドポイントを介した過去の資格情報漏洩 (本番iothubownerキーがアクセス可能だった)
• 本番ビルドに埋め込まれた開発用資格情報による環境発見と標的型偵察の実現
• 本番資格情報を持つ並行開発環境による代替攻撃経路の創出
• 内部APIサーフェスの列挙による他の脆弱性の悪用支援
• 開発用エンドポイントのアクセス制御が緩和された場合の将来の再露出リスク

このクラスのエンドポイントで利用可能な標準サービス

Azureは、開発コードが本番に到達するのを防ぐ組み込みの環境分離とデプロイ制御を提供します:

修復

GardynはCloud APIバージョン2.12.2026以降へのアップグレードを推奨しています。追加情報については https://mygardyn.com/security/ を参照してください。

ベンダー向け推奨修正:

1. 公的にルーティング可能な開発用エンドポイントを完全に廃止する
2. 非本番環境をインターネットから分離するネットワークセグメンテーションを実装する
3. 開発環境で本番資格情報を使用しない
4. 本番アプリケーションビルドから開発用ホスト名、資格情報、デバッグ設定を削除する
5. 本番バンドルからデバッグシンボル、ビルドパス、環境メタデータを除去する
6. リリースビルドに開発成果物が存在しないことを検証するビルドパイプラインを実装する
7. 公開されたAzure Web Appエンドポイントの定期的な監査を実施する

タイムライン

参考情報

• CVE-2026-32662 -- CVE Record
• ICSA-26-055-03
• CWE-489: Active Debug Code

クレジット

Michael Groberman — Gr0m によってCISAに報告されました。