Gardyn 物联网中枢漏洞 CVE-2026-13768（CVSS 10）可导致未经身份验证的远程代码执行

sec随谈
sec随谈

sec随谈

2026年7月13日 08:52
北京

在小说阅读器读本章

去阅读

摘要

CISA（美国网络安全和基础设施安全局）发布了一份公告，涉及 Gardyn IoT Hub（Gardyn 室内智能菜园的控制器）中的三个漏洞。其中最严重的 CVE-2026-13768 获得了 CVSS 满分 10 分，可导致未经身份验证的远程代码执行。Gardyn 已经修复了其云端基础设施，设备也会通过互联网自动更新。

为何重要

Gardyn 销售面向家庭、通过 App 控制的水培种植设备。CISA 一份相关公告统计出该产品线共有超过 138,000 台已注册设备。因此，仅一个泄露的密钥就会使一大批设备面临风险。由于该漏洞无需登录，攻击者可直接从互联网触及设备——一个密钥便能一次性解锁整个被管理的设备群。CISA 将这些漏洞归类于\"食品与农业(Food and Agriculture)\"这一关键基础设施领域。截至目前，CISA 报告尚无已知的在野利用。

攻击原理

Gardyn IoT Hub 暴露了一个具有特权的 iothubowner 密钥。利用该密钥，攻击者可以调用一个 Azure IoT Hub 注册表管理器(Registry Manager)函数。该调用会返回每一台 Gardyn Home Kit 和 Studio 设备的连接详情。由此，攻击者便可在选定的设备上执行任意命令。更糟的是，他们还能横向渗透(pivot)到受害者家庭网络中的其他设备。CISA 公告 ICSA-26-183-03 将根本原因追溯至硬编码凭据(hard-coded credentials)，即 CWE-798。

另外两个较低危漏洞

CVE-2026-55726（CVSS 5.3）使得一个设备日志存储容器可被公开列出(publicly listable)。CVE-2026-54477（CVSS 5.4）则导致管理面板缺失安全标头(security headers)，从而招致点击劫持(clickjacking)和跨站脚本(XSS)风险。

受影响版本

这些漏洞影响 master.627 之前的 Gardyn Home 和 Studio 固件，以及 2.12.2026 之前的 Cloud API。Michael Groberman 向 CISA 报告了这些问题。

补丁与缓解措施

Gardyn 表示其已部署的基础设施现已能够封堵这些漏洞。请让每一台 Gardyn IoT Hub 保持联网状态，以便固件更新能够自动送达；同时将 Gardyn 移动 App 更新至最新版本。除此之外，CISA 敦促设备所有者让控制设备远离公共互联网，并置于防火墙之后。如需了解详情及联系方式，请查阅 Gardyn 安全页面。

参考链接：

https://mygardyn.com/blog/security-update/