CVE-2026-32646: Отсутствие аутентификации на административной конечной точке управления устройствами

Уведомление

Продукт

Краткое описание

Административная конечная точка управления устройствами /api/admin/devices доступна без аутентификации. Эта конечная точка раскрывает функции перечисления устройств, получения метаданных и управления устройствами, предназначенные исключительно для административного использования.

Детали уязвимости

Неаутентифицированный административный доступ

Конечная точка административного управления устройствами доступна публично без каких-либо механизмов аутентификации или авторизации:

GET [REDACTED — Cloud API host]/api/admin/devices
Authentication: NONE

Раскрываемые функции

Неаутентифицированная конечная точка позволяет:

• Перечисление устройств — список всех зарегистрированных устройств в парке
• Метаданные устройств — серийные номера, версии прошивки, статус онлайн/офлайн, отметки времени последней активности
• Сопоставление устройств с пользователями — какой пользователь владеет каким устройством
• Операции управления устройствами — административные CRUD-операции над записями устройств

Связь с другими обнаруженными проблемами

Данная конечная точка предоставляет альтернативный путь к перечислению устройств, не требующий учётных данных IoT Hub (CVE-2025-1242). В то время как CVE-2025-1242 обеспечивает перечисление через реестр Azure IoT Hub, данная конечная точка обеспечивает перечисление через серверный API Gardyn — два независимых пути к одним и тем же данным.

В сочетании с CVE-2026-25197 (IDOR) идентификаторы устройств, полученные с этой конечной точки, могут быть использованы для перехода к персональным данным пользователей (PII) через REST API.

Воздействие

• Полное перечисление парка устройств без аутентификации (~138,160 зарегистрированных устройств)
• Раскрытие метаданных устройств (серийные номера, версии прошивки, статус) позволяет проводить целевые атаки
• Сопоставление устройств с пользователями открывает возможность массовых нарушений конфиденциальности
• Предоставляет разведывательные данные для эксплуатации CVE-2025-1242 (учётные данные IoT Hub) и CVE-2025-29631 (инъекция команд)
• Раскрытие административных функций может позволить манипулировать устройствами

Стандартные службы, доступные для конечных точек данного класса

Устранение

Gardyn рекомендует обновить Cloud API до версии 2.12.2026 или более поздней. Дополнительную информацию см. на https://mygardyn.com/security/.

Рекомендуемые меры защиты для владельцев устройств:

• Изолируйте устройство Gardyn в выделенной VLAN или сегменте IoT-сети

Рекомендуемое исправление для производителя:

1. Требовать административную аутентификацию на всех конечных точках /api/admin/*
2. Внедрить управление доступом на основе ролей, разделяющее административные и пользовательские операции
3. Разместить административные конечные точки за отдельным путём с контролем доступа (не на публичном API)
4. Проводить аудит журналов доступа административных конечных точек на предмет несанкционированного доступа
5. Внедрить ограничение частоты запросов на конечных точках, возвращающих списки устройств

Хронология

Ссылки

• CVE-2026-32646 — запись CVE
• ICSA-26-055-03
• CWE-306: Отсутствие аутентификации для критической функции

Авторство

Сообщено Michael Groberman — Gr0m в CISA.