CVE-2026-25197: Bypass de Autorização via Chave Controlada pelo Usuário (IDOR)

Aviso

Produto

Resumo

Dois endpoints da API REST retornam dados de usuários sem verificações de autorização por usuário:

• /api/users retorna a lista completa de usuários. Nenhuma autenticação é necessária.
• /api/user/{id} retorna o perfil do usuário identificado por {id}. Nenhuma verificação é realizada para confirmar que a parte solicitante está autorizada a acessar o registro desse usuário.

Os identificadores de usuário são inteiros sequenciais, permitindo a enumeração de todas as 134.215+ contas de usuário e seus dispositivos associados por meio do endpoint /api/user/{id}.

Detalhes da Vulnerabilidade

Listagem de Usuários sem Autenticação

O endpoint /api/users aceita requisições sem autenticação e retorna a lista completa de usuários. Nenhuma autenticação, limitação de taxa ou registro de acesso é realizada neste endpoint.

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

Endpoint de Perfil de Usuário — IDOR

O endpoint /api/user/{id} aceita um ID de usuário como parâmetro de caminho e retorna o perfil do usuário correspondente. O endpoint não realiza nenhuma verificação de autorização para confirmar que a parte solicitante está associada ao usuário solicitado. Os IDs de usuário são inteiros sequenciais.

GET [REDACTED — Cloud API host]/api/user/{user_id}

Dados expostos por usuário:

URLs Previsíveis de Imagens de Câmera

As URLs de imagens de câmera seguem um padrão previsível que incorpora o ID de usuário sequencial, o ID do dispositivo e o timestamp. Uma vez obtidos os IDs de usuário e dispositivo por meio do IDOR, um atacante pode construir URLs válidas para acessar as imagens de câmera de qualquer usuário sem autenticação adicional. A câmera Gardyn captura apenas imagens estáticas — nenhum stream de áudio é gravado ou exposto.

Impacto

• Exposição de PII para 134.215+ usuários por meio de enumeração sequencial
• Acesso a imagens de câmera do interior de residências de aproximadamente 115.000 câmeras Gardyn
• Mapeamento completo de usuário para dispositivo permitindo ataques direcionados
• Dois vetores independentes: /api/users (sem autenticação, lista completa de usuários) e /api/user/{id} (IDOR sequencial, dados de qualquer usuário)
• Violação de privacidade em grande escala -- nomes, e-mails, endereços físicos, dados de dispositivos, imagens de câmera

Serviços do Azure Disponíveis para Esta Classe de Endpoint

Remediação

A Gardyn recomenda atualizar para a versão 2.12.2026 ou posterior da Cloud API. Consulte https://mygardyn.com/security/ para obter informações adicionais.

Mitigações recomendadas para proprietários de dispositivos:

• Isole o dispositivo Gardyn em uma VLAN dedicada ou em um segmento de rede IoT
• Avalie se a câmera integrada captura áreas sensíveis da sua residência

Correção recomendada para o fornecedor:

1. Implemente verificações de autorização adequadas em todos os endpoints de dados de usuários e dispositivos
2. Substitua IDs inteiros sequenciais por identificadores não enumeráveis (UUIDs)
3. Valide se o usuário autenticado é o proprietário do recurso solicitado antes de retornar os dados
4. Rotacione as credenciais da API e remova-as do Firebase Remote Config
5. Implemente limitação de taxa nos endpoints de consulta de usuários/dispositivos
6. Audite os logs de acesso em busca de padrões de enumeração

Linha do Tempo

Referências

• CVE-2026-25197 -- Registro CVE
• ICSA-26-055-03
• CWE-639: Bypass de Autorização por Meio de Chave Controlada pelo Usuário

Crédito

Reportado por Michael Groberman — Gr0m à CISA.