CVE-2026-25197: Обход авторизации через управляемый пользователем ключ (IDOR)

Консультация

Продукт

Краткое описание

Две конечные точки REST API возвращают данные пользователей без проверок авторизации на уровне пользователя:

• /api/users возвращает полный список пользователей. Аутентификация не требуется.
• /api/user/{id} возвращает профиль пользователя, идентифицируемого по {id}. Не выполняется проверка того, что запрашивающая сторона авторизована на доступ к записи этого пользователя.

Идентификаторы пользователей представляют собой последовательные целые числа, что позволяет перечислить все 134 215+ учетных записей пользователей и связанные с ними устройства через конечную точку /api/user/{id}.

Детали уязвимости

Вывод списка пользователей без аутентификации

Конечная точка /api/users принимает неаутентифицированные запросы и возвращает полный список пользователей. Для этой конечной точки не выполняются ни аутентификация, ни ограничение частоты запросов, ни журналирование доступа.

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

Конечная точка профиля пользователя — IDOR

Конечная точка /api/user/{id} принимает идентификатор пользователя в качестве параметра пути и возвращает профиль соответствующего пользователя. Конечная точка не выполняет проверку авторизации, чтобы убедиться, что запрашивающая сторона связана с запрашиваемым пользователем. Идентификаторы пользователей — последовательные целые числа.

GET [REDACTED — Cloud API host]/api/user/{user_id}

Данные, раскрываемые для каждого пользователя:

Предсказуемые URL-адреса изображений с камер

URL-адреса изображений с камер следуют предсказуемому шаблону, включающему последовательный идентификатор пользователя, идентификатор устройства и временную метку. После получения идентификаторов пользователя и устройства через IDOR злоумышленник может сформировать корректные URL для доступа к изображениям с камер любого пользователя без дополнительной аутентификации. Камера Gardyn записывает только неподвижные изображения — аудиопотоки не записываются и не раскрываются.

Воздействие

• Раскрытие персональных данных (PII) для 134 215+ пользователей через последовательный перебор
• Доступ к изображениям с камер внутренних помещений примерно 115 000 камер Gardyn
• Полное сопоставление пользователей и устройств, позволяющее проводить целевые атаки
• Два независимых вектора: /api/users (без аутентификации, полный список пользователей) и /api/user/{id} (последовательный IDOR, данные любого пользователя)
• Масштабное нарушение конфиденциальности — имена, адреса электронной почты, физические адреса, данные устройств, изображения с камер

Службы Azure, доступные для конечных точек этого класса

Устранение

Компания Gardyn рекомендует обновить Cloud API до версии 2.12.2026 или более поздней. Дополнительную информацию см. на https://mygardyn.com/security/.

Рекомендуемые меры снижения риска для владельцев устройств:

• Изолируйте устройство Gardyn в отдельной VLAN или сегменте сети для IoT
• Учитывайте, не захватывает ли встроенная камера личные зоны вашего дома

Рекомендуемое исправление для производителя:

1. Внедрите надлежащие проверки авторизации для всех конечных точек с данными пользователей и устройств
2. Замените последовательные целочисленные идентификаторы на неперечисляемые идентификаторы (UUID)
3. Проверяйте, что аутентифицированный пользователь владеет запрашиваемым ресурсом, перед возвратом данных
4. Ротируйте учетные данные API и удалите их из Firebase Remote Config
5. Реализуйте ограничение частоты запросов на конечных точках поиска пользователей/устройств
6. Анализируйте журналы доступа на наличие паттернов перебора

Хронология

Ссылки

• CVE-2026-25197 -- CVE Record
• ICSA-26-055-03
• CWE-639: Authorization Bypass Through User-Controlled Key

Благодарности

Сообщено Michael Groberman — Gr0m в CISA.