CERT/CC VU#653116 | Aviso CISA ICSA-26-055-03 | Todos os CVEs | Repositório de Casos

CVE-2026-32662: Código de Depuração Ativo em Produção

Aviso

Produto

Resumo

Endpoints de API de desenvolvimento e teste estão presentes no ambiente de produção e espelham a funcionalidade de produção. Historicamente, esses endpoints forneciam acesso a credenciais de produção com controles de autenticação reduzidos ou ausentes. Além disso, credenciais e configurações de desenvolvimento estão incorporadas nos builds do aplicativo móvel e do painel administrativo de produção.

Detalhes da Vulnerabilidade

Endpoints de API de Desenvolvimento

Foram descobertos vários endpoints de API de desenvolvimento e teste que se espelham na infraestrutura de produção:

Vazamento Histórico de Credenciais

Historicamente, a API de desenvolvimento aceitava as mesmas solicitações de provisionamento que a produção e retornava credenciais completas de produção, incluindo a credencial iothubowner do IoT Hub (CVE-2025-1242) — sem autenticação.

O ambiente de desenvolvimento foi configurado com credenciais de produção, o que significa que um comprometimento do ambiente de desenvolvimento menos protegido concedia acesso total à frota do IoT Hub de produção.

Credenciais de Desenvolvimento em Builds de Produção

Credenciais e configurações do ambiente de desenvolvimento foram encontradas incorporadas em artefatos de aplicativos de produção:

Aplicativo móvel (index.android.bundle):

• Nomes de host e endpoints da API de desenvolvimento
• Credenciais do projeto de desenvolvimento Firebase
• Strings de conexão de ambiente de teste/staging

Bundle JavaScript do painel administrativo (admin.gardyn.io):

• Endpoint da API de desenvolvimento vazado no bundle de produção ([REDACTED — Host de API de desenvolvimento])
• Credenciais do ambiente de desenvolvimento
• Parâmetros de configuração de depuração
• Identificadores internos de recursos do Azure

Enumeração de Endpoints da API de Produção

A análise dos bundles de produção e do Firebase Remote Config revelou toda a superfície da API de produção:

Status Atual

Os endpoints de desenvolvimento agora retornam respostas 403 Proibido, indicando que foram bloqueados, mas a infraestrutura permanece implantada. As credenciais de desenvolvimento permanecem incorporadas nos builds publicados do aplicativo móvel.

Impacto

• Vazamento histórico de credenciais por meio de endpoints de desenvolvimento (a chave iothubowner de produção estava acessível)
• Credenciais de desenvolvimento em builds de produção permitem descoberta de ambiente e reconhecimento direcionado
• Ambientes de desenvolvimento paralelos com credenciais de produção criam caminhos de ataque alternativos
• A enumeração da superfície interna da API auxilia na exploração de outras vulnerabilidades
• Risco de nova exposição futura se os controles de acesso nos endpoints de desenvolvimento forem flexibilizados

Serviços Padrão Disponíveis para Esta Classe de Endpoint

O Azure fornece separação de ambiente e controles de implantação integrados que impedem que o código de desenvolvimento chegue à produção:

Remediação

A Gardyn recomenda atualizar para a versão 2.12.2026 ou posterior da Cloud API. Consulte https://mygardyn.com/security/ para obter informações adicionais.

Correção recomendada para o fornecedor:

1. Descomissionar completamente os endpoints de desenvolvimento roteáveis publicamente
2. Implementar segmentação de rede isolando ambientes que não sejam de produção da internet
3. Nunca usar credenciais de produção em ambientes de desenvolvimento
4. Remover nomes de host de desenvolvimento, credenciais e configuração de depuração dos builds de aplicativos de produção
5. Remover símbolos de depuração, caminhos de build e metadados de ambiente dos bundles de produção
6. Implementar um pipeline de build que valide que nenhum artefato de desenvolvimento está presente nos builds de lançamento
7. Realizar auditorias regulares dos endpoints expostos do Azure Web App

Linha do Tempo

Referências

• CVE-2026-32662 -- Registro CVE
• ICSA-26-055-03
• CWE-489: Código de Depuração Ativo

Crédito

Relatado por Michael Groberman — Gr0m à CISA.