CVE-2026-13768: 권한 있는 IoT Hub 자격 증명 — 플릿 열거, 디바이스 RCE, 홈 네트워크 피벗

권고

제품

요약

Gardyn은 권한 있는 iothubowner 공유 액세스 키를 노출합니다. 이 키에 접근할 수 있는 악의적인 사용자는 모든 Gardyn Home Kit 및 Studio 디바이스의 연결 정보를 반환하는 Azure IoT Hub Registry Manager 함수를 호출할 수 있습니다. 동일한 키를 사용하면 특정 연결된 디바이스에서 임의의 명령을 실행할 수 있으며, 공격자는 피해자의 홈 네트워크에 있는 다른 디바이스로 피벗할 수 있습니다.

이것은 관리 자격 증명의 제어 플레인 폭발 반경을 기록한 IoT Hub 권고(ICSA-26-183-03)입니다. 이는 ICSA-26-055-03의 CVE-2025-1242와 관련이 있지만 구별됩니다. 해당 권고는 인증되지 않은 API 응답, 모바일 앱 리버스 엔지니어링, 펌웨어 분석을 통한 iothubowner 자격 증명의 노출 을 기록했습니다. CVE-2026-13768은 해당 자격 증명을 보유했을 때 가능해지는 것, 즉 플릿 전체 열거, 디바이스별 원격 코드 실행, 홈 LAN으로의 횡적 이동을 포착합니다.

취약점 세부 정보

자격 증명

iothubowner 공유 액세스 정책은 Azure IoT Hub에서 최고 권한의 자격 증명입니다. Microsoft는 이를 백엔드 서비스 관리 전용으로 문서화하며, 클라이언트에 배포되어서는 안 된다고 명시합니다.

플릿 열거 (Registry Manager)

키를 사용하면 IoTHubRegistryManager가 전체 플릿의 연결 정보를 반환합니다:

from azure.iot.hub import IoTHubRegistryManager
manager = IoTHubRegistryManager.from_connection_string(hub_conn_string)  # iothubowner
online = manager.query_iot_hub("SELECT * FROM devices WHERE connectionState = 'Connected'")

디바이스별 원격 코드 실행

클라우드-투-디바이스 직접 메서드는 모든 디바이스에 도달할 수 있습니다. 디바이스의 upgrade() 핸들러에 있는 명령 주입 경로(CVE-2025-29631)와 결합하면, C2D 메서드 하나로 대상 디바이스에서 루트 명령 실행이 가능합니다:

from azure.iot.hub.models import CloudToDeviceMethod
method = CloudToDeviceMethod(method_name="upgrade", payload={
    "uri": "http://x; <command> ",   # injection sink in upgrade()
    "path": "/tmp/x", "services": []})
manager.invoke_device_method(device_id, method)

홈 네트워크 피벗

각 디바이스는 고객의 홈 WiFi에 위치합니다. 디바이스에서의 명령 실행은 홈 방화벽 뒤편의 발판을 제공하며, 공격자는 이를 통해 LAN을 스캔하고 다른 호스트(라우터, NAS, 카메라, 스마트 잠금장치, 개인용 컴퓨터)와 상호작용할 수 있습니다. 디바이스가 피벗 지점이며 이미 네트워크 내부에 있습니다. 이것이 Gr0m-013 횡적 이동 조건입니다.

조정된 발견 사항 매핑

수정 사항

ICSA-26-183-03에 따라, Gardyn은 나열된 취약점을 해결하기 위해 배포된 IoT Hub 인프라가 업데이트되었다고 명시했습니다.

1. iothubowner 관리 자격 증명을 교체합니다 (초기 접근 차단).
2. 최소 권한의 디바이스별 자격 증명을 발급하고, 클라이언트가 접근할 수 있는 경로에서 플릿 전체 관리 키를 제거합니다.
3. RCE 원시 요소를 제거하기 위해 upgrade() 명령 주입 싱크(CVE-2025-29631)를 제거합니다.
4. 직접 메서드에 대한 명령 허용 목록을 적용합니다.
5. IoT Hub 액세스 로깅 및 이상 징후 알림을 활성화합니다 (공급업체는 노출 기간 동안 영향받는 엔드포인트에 액세스 로깅이 없었다고 CISA에 밝혔습니다).

연구자: Michael Groberman (Gr0m) · 케이스: CERT/CC VU#653116 · 권고: ICSA-26-183-03