CVE-2025-10681: 하드코딩된 Azure Blob Storage 계정 키

권고

제품

요약

Azure Blob Storage 계정 키가 Gardyn 기기 펌웨어와 모바일 애플리케이션 양쪽에 하드코딩되어 있습니다. 이 계정 수준 자격 증명은 OTA 펌웨어 업데이트, 기기 로그, 약 115,000개 기기의 카메라 이미지를 포함한 모든 Blob 컨테이너에 대한 액세스를 허용합니다.

취약점 세부 정보

노출된 스토리지 계정

계정 이름 제거됨 — 공격자 활용 가능성을 줄이기 위해 특정 Azure 리소스 식별자가 이 공개 정보에서 제거되었습니다.

하드코딩된 키를 통해 세 개의 Azure Blob Storage 계정에 액세스할 수 있습니다. 이들은 카메라 정지 이미지, 기기 로그, OTA 업데이트, 타임랩스 비디오(정지 이미지로 구성됨), 썸네일 이미지를 제공하며 모두 계정 수준(전체 액세스) 권한입니다. Gardyn 카메라는 오디오 스트림을 캡처하거나 저장하지 않으며, 카메라 관련 미디어는 모두 이미지 기반입니다.

자격 증명 위치

스토리지 계정 키는 다음 위치에 포함되어 있습니다:

1. 기기 펌웨어 — /usr/local/etc/gardyn/ 아래 구성 파일에 평문으로 저장됨
2. 모바일 애플리케이션 — index.android.bundle의 React Native Hermes 바이트코드

액세스 가능한 컨테이너

컨테이너 이름 제거됨 — 공격자 활용 가능성을 줄이기 위해 특정 리소스 식별자가 이 공개 정보에서 제거되었습니다.

열거를 통해 홈 인테리어 카메라 이미지(약 115,000대 카메라), 기기 진단 로그(5년 이상), 타임랩스 녹화 및 펌웨어 업데이트 패키지가 포함된 컨테이너가 확인되었습니다. 카메라 이미지, 로그 및 OTA 업데이트 컨테이너에는 읽기/쓰기 액세스 권한이 있습니다.

OTA 펌웨어 컨테이너에 대한 쓰기 액세스 권한은 펌웨어 업데이트 파이프라인에 대한 아키텍처 수준 액세스를 제공합니다.

영향

• 약 115,000대 Gardyn 카메라의 홈 인테리어 카메라 이미지에 대한 읽기 액세스
• OTA 펌웨어 업데이트 스토리지에 대한 읽기/쓰기 액세스 — 공급망 공격을 가능하게 함
• 5년 이상의 기기 진단 로그에 대한 액세스
• 임의 Blob 업로드를 통한 스토리지 비용 공격
• OTA 펌웨어 업데이트 파이프라인에 대한 아키텍처 수준 액세스

이 유형의 엔드포인트에 사용 가능한 Azure 서비스

계정 키는 약 115,000개의 홈 인테리어 카메라 이미지, 5년 이상의 진단 로그, OTA 펌웨어 업데이트 파이프라인을 포함한 모든 컨테이너에 대한 무제한 액세스를 제공합니다.

해결 방법

기기 소유자를 위한 권장 완화 조치:

• Gardyn 기기를 전용 VLAN 또는 IoT 네트워크 세그먼트에 격리
• 기기에서 예기치 않은 외부 연결 모니터링

공급업체를 위한 권장 수정 사항:

1. 모든 Azure Storage 계정 키를 즉시 회전
2. 펌웨어 및 모바일 애플리케이션에서 하드코딩된 자격 증명 제거
3. 최소 권한으로 기기별 범위 지정 SAS 토큰 구현
4. 모든 컨테이너를 프라이빗 액세스 수준으로 설정
5. OTA 펌웨어 패키지에 대한 코드 서명 구현
6. 다운로드된 펌웨어에 대한 무결성 검증 추가

타임라인

참조

• CVE-2025-10681 — CVE 레코드
• ICSA-26-055-03
• CWE-798: 하드코딩된 자격 증명 사용

크레딧

Michael Groberman — Gr0m이 CISA에 신고했습니다.