CVE-2025-1242: Exposição de Credenciais Administrativas do IoT Hub

Aviso

Produto

Resumo

A credencial administrativa do Azure IoT Hub (política de acesso compartilhado iothubowner) é extraível por meio de múltiplos vetores, incluindo respostas de API não autenticadas, engenharia reversa do aplicativo móvel e análise do firmware do dispositivo. Essa credencial concede controle administrativo sobre o IoT Hub da Gardyn, que gerencia arquitetonicamente todos os dispositivos registrados.

Detalhes da Vulnerabilidade

A Credencial

A política de acesso compartilhado iothubowner é a credencial de maior privilégio no Azure IoT Hub. Ela concede:

A documentação da Microsoft afirma: "A política iothubowner possui todas as permissões e deve ser usada com extrema cautela. Ela é destinada somente à administração de serviços de backend e NUNCA deve ser distribuída a clientes."

Uma única string de conexão iothubowner fornece acesso administrativo ao IoT Hub da Gardyn.

Vetores de Exposição

A credencial foi exposta por meio de múltiplos canais independentes:

1. Endpoint de API não autenticado

Um endpoint de provisionamento de dispositivos não autenticado retornava a credencial administrativa a qualquer solicitante. Nenhuma autenticação era necessária. O endpoint era acessível a qualquer pessoa na internet.

Detalhes da solicitação removidos — Caminhos específicos de endpoints, nomes de campos e estruturas de solicitação foram removidos desta divulgação pública para reduzir o auxílio a atacantes.

O campo da credencial administrativa foi posteriormente removido da resposta deste endpoint (correção parcial), mas o endpoint ainda retorna credenciais de nível de dispositivo sem autenticação.

2. Endpoint de enumeração de usuários não autenticado

Um endpoint de listagem de usuários não autenticado retornava registros completos de todos os 134.215 usuários registrados. Cada registro incluía a credencial administrativa — 134.215 cópias em uma única resposta de API.

Detalhes da solicitação removidos — Caminhos específicos de endpoints e nomes de campos foram removidos desta divulgação pública para reduzir o auxílio a atacantes.

Este endpoint também expôs PII (informações pessoais identificáveis) sensíveis de todos os usuários, incluindo nomes completos, endereços de e-mail, números de telefone, números parciais de cartões de pagamento, IDs de usuário sequenciais (permitindo IDOR), IDs de dispositivos e credenciais de conexão.

Conforme o ICSA-26-055-03 da CISA, esse vetor de exposição foi corrigido nas versões de correção publicadas.

3. Aplicativo móvel

A credencial está embutida no bundle do aplicativo React Native (bytecode Hermes em index.android.bundle). Ela também é distribuída via Firebase Remote Config, que registra credenciais no logcat do Android em builds de depuração.

4. Firmware do dispositivo

A string de conexão está presente nos arquivos de firmware do dispositivo em /usr/local/etc/gardyn/ e é registrada no syslog em texto claro durante a inicialização.

Janela de Exposição

A credencial está exposta desde pelo menos maio de 2019 (mais de 6 anos, com base na disponibilidade do endpoint de API). O fornecedor migrou de um IoT Hub anterior ([REDACTED — IoT Hub name]) para o hub atual ([REDACTED — IoT Hub name]), mas reutilizou a mesma chave de acesso compartilhado, o que significa que qualquer pessoa que capturou a credencial durante a janela de exposição original mantém o acesso.

O fornecedor confirmou que não existia registro de acesso nos endpoints afetados, o que significa que o escopo do acesso não autorizado durante a janela de exposição de mais de 6 anos não pode ser determinado.

O fornecedor declarou à CISA que não existia registro de acesso nos endpoints afetados durante a janela de exposição. A página pública de segurança do fornecedor está em https://mygardyn.com/security/.

Impacto

Um atacante com a credencial iothubowner pode:

• Enumerar dispositivos registrados por meio de consultas ao registro do IoT Hub
• Invocar métodos diretos em dispositivos registrados, incluindo o método upgrade(), vulnerável a injeção de comandos (CVE-2025-29631)
• Ler e modificar configurações de device twins (gêmeos de dispositivo)
• Enviar mensagens da nuvem para o dispositivo
• Criar ou excluir registros de dispositivos
• Acessar dados de telemetria dos dispositivos

Combinada com CVE-2025-29631, essa credencial permite execução remota de código como root em dispositivos que usam as credenciais compartilhadas (verificado no próprio dispositivo do pesquisador).

Por que Esta Credencial é Importante

Essa credencial, combinada com o hostname do IoT Hub, permitia acesso administrativo direto ao IoT Hub que gerencia a frota de dispositivos Gardyn afetada. As capacidades de uma credencial iothubowner são documentadas pela Microsoft (veja Impacto acima e a documentação do Azure vinculada em Referências). A CISA classificou este CVE em CVSS 9.1 (Crítico).

Os outros CVEs no ICSA-26-055-03 são documentados como descobertas independentes; a exposição desta credencial é uma questão distinta dessas vulnerabilidades, embora um único atacante que detenha múltiplas descobertas possa combiná-las em alguns cenários.

Serviços do Azure Disponíveis para Esta Classe de Endpoint

A própria documentação da Microsoft afirma explicitamente: "A política iothubowner possui todas as permissões e deve ser usada com extrema cautela. Ela é destinada somente à administração de serviços de backend e NUNCA deve ser distribuída a clientes."

Remediação

Mitigações recomendadas para proprietários de dispositivos:

• Isole o dispositivo Gardyn em uma VLAN dedicada ou segmento de rede IoT
• Monitore o dispositivo para detectar atividade de rede inesperada
• Não coloque o dispositivo em redes que contenham sistemas sensíveis

Correção recomendada para o fornecedor:

1. Rotacione imediatamente a chave de acesso compartilhado iothubowner
2. Remova a credencial administrativa de todas as respostas de API, do código do aplicativo móvel e do Firebase Remote Config
3. Implemente credenciais com escopo por dispositivo usando o Azure IoT Hub Device Provisioning Service (DPS) com certificados X.509
4. Exija autenticação em todos os endpoints de API que retornem credenciais de dispositivo ou de hub
5. Audite os registros de acesso do IoT Hub para detectar acesso não autorizado durante a janela de exposição
6. Implemente monitoramento e alertas para operações administrativas anômalas do IoT Hub

Linha do Tempo

Referências

• CVE-2025-1242 — Registro CVE
• ICSA-26-055-03
• CSAF JSON
• CWE-798: Uso de Credenciais Codificadas
• Políticas de Acesso Compartilhado do Azure IoT Hub

Crédito

Reportado por Michael Groberman — Gr0m à CISA.