CERT/CC VU#653116 | CISA 公告 ICSA-26-055-03 | 所有 CVE | 案例仓库

CVE-2026-32662：生产环境中的活动调试代码

公告

产品

摘要

生产环境中存在与生产功能相对应的开发和测试 API 端点。这些端点历史上曾以降低或缺失的认证控制方式提供对生产凭据的访问。此外，开发凭据和配置被嵌入到生产移动应用和管理面板的构建中。

漏洞详情

开发 API 端点

发现了多个与生产基础设施并行的开发和测试 API 端点：

历史凭据泄露

开发 API 历史上接受与生产环境相同的配置请求，并在无需认证的情况下返回完整的生产凭据，包括 IoT Hub 的 iothubowner 凭据（CVE-2025-1242）。

开发环境配置了生产凭据，这意味着安全性较弱的开发环境一旦被攻破，即可获得对生产 IoT Hub 设备群的完全访问权限。

生产构建中的开发凭据

开发环境凭据和配置被发现嵌入在生产应用工件中：

移动应用（index.android.bundle）：

• 开发 API 主机名和端点
• Firebase 开发项目凭据
• 测试/预发布环境连接字符串

管理面板 JavaScript 包（admin.gardyn.io）：

• 生产包中泄露的开发 API 端点（[已编辑 — 开发 API 主机]）
• 开发环境凭据
• 调试配置参数
• 内部 Azure 资源标识符

生产 API 端点枚举

对生产包和 Firebase Remote Config 的分析揭示了完整的生产 API 面：

当前状态

开发端点现在返回 403 禁止访问响应，表明它们已被阻止，但基础设施仍然部署。开发凭据仍嵌入在已发布的移动应用构建中。

影响

• 通过开发端点造成的历史凭据泄露（生产 iothubowner 密钥曾可访问）
• 生产构建中的开发凭据可实现环境发现和定向侦察
• 带有生产凭据的并行开发环境创造了替代攻击路径
• 内部 API 面枚举有助于利用其他漏洞
• 如果开发端点的访问控制被放宽，存在未来再次暴露的风险

此类端点可用的标准服务

Azure 提供内置的环境隔离和部署控制，可防止开发代码进入生产环境：

修复措施

Gardyn 建议升级到 Cloud API 版本 2.12.2026 或更高版本。更多信息请参阅 https://mygardyn.com/security/。

为厂商推荐的修复方案：

1. 完全停用可公开路由的开发端点
2. 实施网络分段，将非生产环境与互联网隔离
3. 切勿在开发环境中使用生产凭据
4. 从生产应用构建中移除开发主机名、凭据和调试配置
5. 从生产包中剥离调试符号、构建路径和环境元数据
6. 实施构建管道，验证发布构建中不存在开发工件
7. 定期审计暴露的 Azure Web App 端点

时间线

参考

• CVE-2026-32662 — CVE 记录
• ICSA-26-055-03
• CWE-489：活动调试代码

致谢

由 Michael Groberman — Gr0m 向 CISA 报告。