Gardyn IoT Hub

Ver Resumen de CSAF La explotación exitosa de estas vulnerabilidades podría permitir a usuarios no autenticados acceder y controlar dispositivos gestionados por IoT Hub. Las siguientes versiones de Gardyn IoT Hub están afectadas: Home Firmware, Studio Firmware, Cloud API <2.12.2026 (CVE-2026-13768, CVE-2026-55726, CVE-2026-54477) CVSS Vulnerabilidades de Equipos del Vendedor v3 10 Gardyn Gardyn IoT Hub Uso de Credenciales Duras, Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada, Neutralización Improper de Encabezados HTTP para Sintaxis de Scripting Contexto Sectores de Infraestructura Crítica: Alimentos y Agricultura Países/Áreas Desplegadas: Estados Unidos Ubicación de la Sede de la Compañía: Estados Unidos Vulnerabilidades Expandir Todo + CVE-2026-13768 Los dispositivos Gardyn exponen una clave privilegiada de iothubowner. El acceso a esta clave permitirá a un usuario malicioso invocar una función del Administrador de Registro de IoTHub que devuelve la información de conexión para todos los dispositivos Gardyn Home Kit y Studio. El acceso a esta clave también permite a un usuario malicioso ejecutar comandos arbitrarios en un dispositivo conectado específico y puede permitir al usuario malicioso pivotar a otros dispositivos en la red del usuario. Ver Detalles CVE Productos Afectados Gardyn IoT Hub Vendedor: Gardyn Versión del Producto: Gardyn Home Firmware: <master.627, Gardyn Studio Firmware: <master.627, Gardyn Cloud API: <2.12.2026 Estado del Producto: conocido_afectado Remedios Mitigación Gardyn afirma que la infraestructura desplegada de IoT Hub ha sido actualizada para solucionar las vulnerabilidades mencionadas. Mitigación Gardyn solicita que los usuarios aseguren que sus dispositivos tengan conectividad a Internet para poder descargar automáticamente las actualizaciones de firmware necesarias. Los dispositivos no conectados se actualizarán automáticamente cuando se configuren con una conexión a Internet funcional. Gardyn también recomienda que los usuarios actualicen su aplicación móvil a la versión más reciente. Las versiones actuales de la Aplicación Gardyn y del firmware de Gardyn Home pueden ser verificadas en la Aplicación Gardyn. Mitigación Más información sobre la seguridad de Gardyn se puede encontrar aquí: https://mygardyn.com/security/ https://mygardyn.com/security/ Mitigación Se puede obtener más soporte al cliente de Gardyn en: support@mygardyn.com mailto:support@mygardyn.com CWE Relevante: CWE-798 Uso de Credenciales Duras Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 10 CRÍTICO CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L 4.0 9.5 CRÍTICO CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L CVE-2026-55726 El contenedor de Azure Blob Storage utilizado para los registros de dispositivos Gardyn es públicamente listable sin autenticación. Un usuario malicioso podría acceder a cualquier archivo de registro de dispositivo disponible en el contenedor de almacenamiento de blobs. Ver Detalles CVE Productos Afectados Gardyn IoT Hub Vendedor: Gardyn Versión del Producto: Gardyn Home Firmware: <master.627, Gardyn Studio Firmware: <master.627, Gardyn Cloud API: <2.12.2026 Estado del Producto: conocido_afectado Remedios Mitigación Gardyn afirma que la infraestructura desplegada de IoT Hub ha sido actualizada para solucionar las vulnerabilidades mencionadas. Mitigación Gardyn solicita que los usuarios aseguren que sus dispositivos tengan conectividad a Internet para poder descargar automáticamente las actualizaciones de firmware necesarias. Los dispositivos no conectados se actualizarán automáticamente cuando se configuren con una conexión a Internet funcional. Gardyn también recomienda que los usuarios actualicen su aplicación móvil a la versión más reciente. Las versiones actuales de la Aplicación Gardyn y del firmware de Gardyn Home pueden ser verificadas en la Aplicación Gardyn. Mitigación Más información sobre la seguridad de Gardyn se puede encontrar aquí: https://mygardyn.com/security/ https://mygardyn.com/security/ Mitigación Se puede obtener más soporte al cliente de Gardyn en: support@mygardyn.com mailto:support@mygardyn.com CWE Relevante: CWE-497 Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 5.3 MEDIA CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 4.0 6.9 MEDIA CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N CVE-2026-54477 El panel de administración carece de encabezados de seguridad estándar, lo que permite ataques de clickjacking y scripting entre sitios. Ver Detalles CVE Productos Afectados Gardyn IoT Hub Vendedor: Gardyn Versión del Producto: Gardyn Home Firmware: <master.627, Gardyn Studio Firmware: <master.627, Gardyn Cloud API: <2.12.2026 Estado del Producto: conocido_afectado Remedios Mitigación Gardyn afirma que la infraestructura desplegada de IoT Hub ha sido actualizada para solucionar las vulnerabilidades mencionadas. Mitigación Gardyn solicita que los usuarios aseguren que sus dispositivos tengan conectividad a Internet para poder descargar automáticamente las actualizaciones de firmware necesarias. Los dispositivos no conectados se actualizarán automáticamente cuando se configuren con una conexión a Internet funcional. Gardyn también recomienda que los usuarios actualicen su aplicación móvil a la versión más reciente. Las versiones actuales de la Aplicación Gardyn y del firmware de Gardyn Home pueden ser verificadas en la Aplicación Gardyn. Mitigación Más información sobre la seguridad de Gardyn se puede encontrar aquí: https://mygardyn.com/security/ https://mygardyn.com/security/ Mitigación Se puede obtener más soporte al cliente de Gardyn en: support@mygardyn.com mailto:support@mygardyn.com CWE Relevante: CWE-644 Neutralización Improper de Encabezados HTTP para Sintaxis de Scripting Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 5.4 MEDIA CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N 4.0 5.1 MEDIA CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N Reconocimientos Michael Groberman reportó estas vulnerabilidades a CISA Aviso Legal y Términos de Uso Este producto se proporciona sujeto a este Aviso (https://www.cisa.gov/notification) y esta política de Privacidad y Uso (https://www.cisa.gov/privacy-policy). Prácticas Recomendadas CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades. Minimizar la exposición de red para todos los dispositivos y/o sistemas de control, asegurando que no estén accesibles desde Internet. Localizar redes y dispositivos remotos de sistemas de control detrás de cortafuegos y aislarlos de redes empresariales. Cuando se requiera acceso remoto, utilizar métodos más seguros, como Redes Privadas Virtuales (VPN), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. También reconocer que una VPN es tan segura como los dispositivos conectados. CISA recuerda a las organizaciones realizar un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas. CISA también proporciona una sección con prácticas recomendadas de seguridad de sistemas de control en la página web de ICS en cisa.gov/ics. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluyendo la mejora de la ciberseguridad de los sistemas de control industrial con estrategias de defensa en profundidad. CISA alienta a las organizaciones a implementar estrategias de ciberseguridad recomendadas para la defensa proactiva de los activos de ICS. Guía adicional de mitigación y prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov/ics en el documento informativo técnico, ICS-TIP-12-146-01B--Estrategias de Detección y Mitigación de Intrusiones Cibernéticas. Las organizaciones que observen actividad maliciosa sospechosa deben seguir los procedimientos internos establecidos y reportar los hallazgos a CISA para su seguimiento y correlación con otros incidentes. En este momento, no se ha reportado a CISA ninguna explotación pública conocida que apunte específicamente a estas vulnerabilidades. Historial de Revisiones Fecha de Publicación Inicial: 2026-07-02 Resumen de la Revisión Fecha 2026-07-02 1 Publicación Inicial Aviso Legal y Términos de Uso