CVE-2026-25197: 사용자 제어 키를 통한 인증 우회 (IDOR)

권고

제품

요약

두 개의 REST API 엔드포인트가 사용자별 권한 부여 확인 없이 사용자 데이터를 반환합니다:

• /api/users는 전체 사용자 목록을 반환합니다. 인증이 필요하지 않습니다.
• /api/user/{id}는 {id}로 식별된 사용자의 프로필을 반환합니다. 요청자가 해당 사용자의 레코드에 접근할 권한이 있는지 확인하지 않습니다.

사용자 식별자는 순차적인 정수이므로 /api/user/{id} 엔드포인트를 통해 134,215개 이상의 모든 사용자 계정과 관련 기기를 열거할 수 있습니다.

취약점 세부 정보

인증되지 않은 사용자 목록화

/api/users 엔드포인트는 인증되지 않은 요청을 수락하고 전체 사용자 목록을 반환합니다. 이 엔드포인트에서는 인증, 속도 제한 또는 접근 로깅이 수행되지 않습니다.

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

사용자 프로필 엔드포인트 — IDOR

/api/user/{id} 엔드포인트는 경로 매개변수로 사용자 ID를 받아 해당 사용자의 프로필을 반환합니다. 엔드포인트는 요청자가 요청된 사용자와 연관되어 있는지 확인하는 권한 부여 검사를 수행하지 않습니다. 사용자 ID는 순차적인 정수입니다.

GET [REDACTED — Cloud API host]/api/user/{user_id}

사용자당 노출되는 데이터:

예측 가능한 카메라 이미지 URL

카메라 이미지 URL은 순차적인 사용자 ID, 기기 ID 및 타임스탬프를 포함하는 예측 가능한 패턴을 따릅니다. IDOR을 통해 사용자 및 기기 ID를 획득하면 공격자는 추가 인증 없이 모든 사용자의 카메라 이미지에 접근할 수 있는 유효한 URL을 구성할 수 있습니다. Gardyn 카메라는 정지 이미지만 캡처하며, 오디오 스트림은 기록되거나 노출되지 않습니다.

영향

• 순차적 열거를 통한 134,215명 이상의 사용자 PII 노출
• 약 115,000개의 Gardyn 카메라에서 가정 내부 카메라 이미지 접근
• 완전한 사용자-기기 매핑을 통한 표적 공격 가능
• 두 가지 독립적인 벡터: /api/users (인증 없음, 전체 사용자 목록) 및 /api/user/{id} (순차적 IDOR, 모든 사용자 데이터)
• 대규모 개인정보 침해 — 이름, 이메일, 실제 주소, 기기 데이터, 카메라 이미지

이 클래스의 엔드포인트에 사용 가능한 Azure 서비스

해결 방안

Gardyn은 Cloud API 버전 2.12.2026 이상으로 업그레이드할 것을 권장합니다. 추가 정보는 https://mygardyn.com/security/ 를 참조하십시오.

기기 소유자를 위한 권장 완화 조치:

• Gardyn 기기를 전용 VLAN 또는 IoT 네트워크 세그먼트에 격리
• 내장 카메라가 집 안의 민감한 영역을 촬영하는지 고려

벤더를 위한 권장 수정 사항:

1. 모든 사용자 및 기기 데이터 엔드포인트에 적절한 권한 부여 검사 구현
2. 순차적 정수 ID를 열거 불가능한 식별자(UUID)로 대체
3. 데이터를 반환하기 전에 인증된 사용자가 요청된 리소스를 소유하고 있는지 검증
4. API 자격 증명을 교체하고 Firebase Remote Config에서 제거
5. 사용자/기기 조회 엔드포인트에 속도 제한 구현
6. 열거 패턴을 찾기 위해 접근 로그 감사

타임라인

참고 자료

• CVE-2026-25197 -- CVE 레코드
• ICSA-26-055-03
• CWE-639: 사용자 제어 키를 통한 인증 우회

크레딧

Michael Groberman — Gr0m이 CISA에 보고함.