CVE-2026-13768 - Gardyn IoT Hub 所有者密钥暴露

[!WARNING] 此仓库包含一个高严重性物联网漏洞的完整概念验证。
本代码仅供教育用途、授权安全研究和防御性测试使用。

未经授权使用是违法的。 未经所有者明确书面许可，测试或利用系统违反了《计算机欺诈与滥用法》（CFAA）、欧盟《网络弹性法案》以及您所在司法管辖区的其他适用法律。
作者对因本代码导致的任何误用、损害或法律后果不承担任何责任。
始终在法律和道德范围内进行操作。

---

概述

CVE-2026-13768 暴露了 Gardyn 智能花园系统中 IoT Hub 的所有者级连接字符串，允许对 Azure IoT Hub 进行完全管理控制。此 PoC 演示了攻击者如何通过 upgrade() 云到设备方法中的命令注入，利用所有者密钥在连接的设备上实现远程代码执行 (RCE)，从而能够对整个设备群进行破坏。

该套件包括：

• validate.py：用于被动验证（蓝队）...
• poc.py：“武器化利用框架”（红队）...
• c2s.py：一个轻量级的 C2 服务器，用于演示
• TEMPLATES.md：针对 IoT/BusyBox 环境优化的即用型**横向移动（ping 扫描、端口扫描）和持久化（cron、systemd、init.d 等）**模板。

这是一个持续进行的研究项目——请负责任地使用它，以理解和防御供应链及物联网云配置错误。

特性

• 被动验证：安全地验证所有者密钥的有效性并枚举设备，无需进行任何更改
• 设备群枚举：列出注册到 IoT Hub 的所有设备
• 远程代码执行：通过 upgrade() 方法（利用 CVE-2025-29631 命令注入）注入命令
• 横向移动：从被攻陷设备进行局域网扫描的示例
• 持久化：维持访问的示例技术
• OPSEC 特性：载荷混淆、操作日志记录、可选的 TLS 绕过（用于实验室环境）
• C2 集成：用于交互式会话的简单命令与控制服务器

目录结构

.
├── poc.py              # 主要的武器化利用脚本
├── validate.py         # 安全的只读验证工具
├── c2s.py              # 用于演示的轻量级 C2 服务器
├── TEMPLATES.md        # 即用型命令模板。
├── README.md

依赖项

• Python 3.8+
• Azure IoT Hub SDK

安装

1. 克隆仓库：

   git clone https://github.com/J4ck3LSyN-Gen2/CVE-2026-13768.git
   cd CVE-2026-13768
   python3 -m venv venv
   

2. 激活虚拟环境（或创建一个）：

   source venv/bin/activate
   python3 -m pip install --upgrade pip
   

3. 安装依赖：

   python3 -m pip install azure-iot-hub
   

用法

1. 被动验证（强烈推荐）

python validate.py --conn-str "HostName=yourhub.azure-devices.net;SharedAccessKeyName=iothubowner;SharedAccessKey=..."

退出码 0 = 有效的所有者密钥，且设备可访问。不进行任何修改。

2. 完整利用（仅限授权目标）

python poc.py \
  --mode exploit \
  --conn-str "HostName=..." \
  --device-id "target-device-123" \
  --command "whoami" \
  --lateral-scan \
  --persist

关键参数

参数	描述	必需
--mode	validate 或 exploit	否（默认：validate）
--conn-str	IoT Hub 所有者连接字符串	是
--device-id	目标设备 ID	是（exploit 模式）
--command	通过 upgrade() 注入执行的命令	否（默认：id）
--lateral-scan	启用从设备进行的局域网侦察	否
--persist	尝试持久化（例如 cron、systemd）	否
--c2	回连到 C2 服务器	否

运行 python poc.py --help 查看完整选项。

3. C2 服务器（演示）

python c2s.py --port 4444

工作原理（技术摘要）

1. 密钥验证 → 使用 Azure IoT Hub SDK 以 iothubowner 身份进行身份验证
2. 枚举 → 获取设备注册表和孪生数据
3. RCE 原语 → 滥用 upgrade() 直接方法中的命令注入
4. 后渗透 → 可选的横向移动 + 持久化载荷
5. 混淆 → 基本字符串编码（易于扩展为 AES/自定义）

注意：横向移动和持久化代码为说明性占位符。请根据目标设备的操作系统和限制（例如 BusyBox 受限环境）进行调整。

OPSEC 与安全注意事项

• 日志记录：默认写入 /tmp/cve_2026_13768.log。在实际渗透中，请替换为加密外传。
• 混淆：扩展提供的 obfuscate_cmd() / deobfuscate_cmd() 函数。
• 测试：始终先在隔离的实验室环境中测试。
• 清理：准备回滚计划。该漏洞可能会在设备上留下痕迹。

参考资料

• CISA 公告 ICSA-26-183-03
• 相关 CVE-2025-29631
• Azure IoT Hub 文档

贡献

欢迎对以下方面做出贡献：

• 改进混淆技术
• 其他持久化方法
• 防御检测规则
• 更好的 C2 集成

请提交 issue 或 PR。

---

能力越大，责任越大。