CVE-2026-32662: Código de Depuração Ativo em Produção

Advisory

Produto

Resumo

Endpoints de API de desenvolvimento e teste estão presentes no ambiente de produção que espelham a funcionalidade de produção. Esses endpoints historicamente forneciam acesso a credenciais de produção com controles de autenticação reduzidos ou ausentes. Além disso, credenciais e configurações de desenvolvimento estão embutidas nos builds do aplicativo móvel e do painel de administração em produção.

Detalhes da Vulnerabilidade

Endpoints de API de Desenvolvimento

Múltiplos endpoints de API de desenvolvimento e teste foram descobertos que paralelizam a infraestrutura de produção:

Vazamento Histórico de Credenciais

A API de desenvolvimento historicamente aceitava as mesmas solicitações de provisionamento que a produção e retornava credenciais completas de produção, incluindo a credencial iothubowner do IoT Hub (CVE-2025-1242) — sem autenticação.

O ambiente de desenvolvimento foi configurado com credenciais de produção, o que significa que um comprometimento do ambiente de desenvolvimento menos seguro concedia acesso total à frota do IoT Hub de produção.

Credenciais de Desenvolvimento em Builds de Produção

Credenciais e configurações do ambiente de desenvolvimento foram encontradas embutidas em artefatos de aplicações de produção:

Aplicativo móvel (index.android.bundle):

• Hostnames e endpoints da API de desenvolvimento
• Credenciais do projeto de desenvolvimento Firebase
• Strings de conexão do ambiente de teste/staging

Pacote JavaScript do painel de administração (admin.gardyn.io):

• Endpoint da API de desenvolvimento vazado no pacote de produção ([REDACTED — Host da API Dev])
• Credenciais do ambiente de desenvolvimento
• Parâmetros de configuração de depuração
• Identificadores internos de recursos do Azure

Enumeração de Endpoints da API de Produção

Análise dos pacotes de produção e do Firebase Remote Config revelou a superfície completa da API de produção:

Status Atual

Os endpoints de desenvolvimento agora retornam respostas 403 Proibido, indicando que foram bloqueados, mas a infraestrutura permanece implantada. As credenciais de desenvolvimento permanecem embutidas nos builds do aplicativo móvel publicados.

Impacto

• Vazamento histórico de credenciais via endpoints de desenvolvimento (a chave iothubowner de produção estava acessível)
• Credenciais de desenvolvimento em builds de produção permitem descoberta de ambiente e reconhecimento direcionado
• Ambientes de desenvolvimento paralelos com credenciais de produção criam caminhos de ataque alternativos
• Enumeração da superfície interna da API auxilia na exploração de outras vulnerabilidades
• Risco de reexposição futura se os controles de acesso nos endpoints de desenvolvimento forem relaxados

Serviços Padrão Disponíveis para Esta Classe de Endpoint

O Azure fornece separação de ambiente e controles de implantação internos que impedem que código de desenvolvimento chegue à produção:

Remediação

A Gardyn recomenda atualizar para a versão 2.12.2026 ou posterior da Cloud API. Consulte https://mygardyn.com/security/ para informações adicionais.

Correção recomendada para o fornecedor:

1. Descomissionar completamente os endpoints de desenvolvimento roteáveis publicamente
2. Implementar segmentação de rede isolando ambientes não produtivos da internet
3. Nunca usar credenciais de produção em ambientes de desenvolvimento
4. Remover hostnames de desenvolvimento, credenciais e configuração de depuração dos builds de aplicações de produção
5. Remover símbolos de depuração, caminhos de build e metadados de ambiente dos pacotes de produção
6. Implementar um pipeline de build que valide que não há artefatos de desenvolvimento presentes em builds de release
7. Realizar auditorias regulares de endpoints expostos do Azure Web App

Cronograma

Referências

• CVE-2026-32662 -- Registro CVE
• ICSA-26-055-03
• CWE-489: Código de Depuração Ativo

Crédito

Reportado por Michael Groberman — Gr0m à CISA.