FastBee IoT Platform IDOR Vulnerability: Arbitrary Device Read and Ownership Modification via CWE-639

CVE-2026-110124: FastBee IoTプラットフォーム: デバイスの読み書きエンドポイントが所有者チェックを行わず、呼び出し元由来のdeviceIdを信頼しているため、任意のデバイスロールアカウントが他所有者のデバイスを読み取り・変更可能 脆弱性概要 FastBeeはマルチユーザー対応のIoTプラットフォームです。管理画面およびWeb RESTインターフェースでは、Spring SecurityおよびRuoyiスタイルの権限注釈が使用されています。プラットフォームには低信頼度のデバイスロールが事前定義されており、ロール3（general）はデバイス側ユーザーとして文書化され、自身のデバイスとグループのみを管理できます。ロール2（tenant）はテナント内のデバイスを管理します。 4つのデバイスエンドポイント（ ）は、粗粒度の権限のみを強制しています（ログインアカウントが または を保持していること）。リクエストで指定されたデバイスが呼び出し元に属しているかどうかは一切チェックされません。そのうち3つのエンドポイントは または でデバイスを読み取り、1つは でデバイスを更新します。サービスメソッドは呼び出し元から提供された識別子をMyBatisマッパに直接渡しており、マッパのSQLは または のみでフィルタリングしています。返されるレコードには、デバイスの物理位置（ , ）、デバイスネットワークIP、シリアル番号、および保存されているthing-model値が含まれます。更新パスでは、リクエストボディから と が書き込まれるため、呼び出し元は任意のデバイス自体のアカウントに再割り当てできます。 この境界が侵害された理由は、同一のコードベースの他の箇所では適切な権限管理が実施されているためです。各デバイスリストメソッドは、汎用またはテナントの呼び出し元を自身の行に制限しており、同種の削除メソッドは明示的に汎用ユーザーが自分が所有していないデバイスの削除を拒否しています。IDによる読み取り、シリアル番号による読み取り、稼働状況読み取り、および更新ポイントに抜け穴があります。事前定義された（general）アカウント、最低レベルのデバイス管理ロール、デフォルトのシードデータは、すべての4つのエンドポイントにアクセスでき、デジタル をイテレートすることで、任意のユーザーまたはテナントが所有するデバイスを操作可能です。 影響範囲 影響対象バージョン: v1.2.1（公式最新リリース、コミット ）。保護されていない同一のコードは開発ブランチ（タグ v2.1.0、コミット ）にも存在します。それ以前バージョンは個別に隔離されていません。 脆弱性タイプ: CWE-639 Authorization Bypass Through User-Controlled Key (IDOR), CWE-862 Missing Authorization コンポーネント: wumei-iot/DeviceController 深刻度: High ステータス: 調整された開示進行中（VulnCheck経由）。CVEは未割り当て。 修正方針 1. 読み取りエンドポイントでより細粒度の権限チェックが必要: 現在の読み取りエンドポイントは のチェックのみを行い、リクエストで指定されたデバイスが誰に属しているかを知る手段がないため、オブジェクトごとの認可（per-object authorization）を実行していません。 および はURLパスから直接到達可能です。 2. 読み取りサービスメソッドがキーのみを転送し所有者フィルタを欠く: サービスメソッド 、 、 は、現在のユーザーを確認せずに識別子をマッパに直接渡すため、呼び出し元の所有デバイスに制限できません。 3. マッパがキーのみで選択する: マッパのSQLは または でのみフィルタリングし、 や などの述語がないため、クエリは所有者に関係なく一致する行を返します。 4. リストメソッドおよび所有者別削除メソッドでの範囲制御: リストメソッドは呼び出し元のロールを読み取り、 または フィルタを設定しています。削除パスでは明示的なオブジェクトごとの所有者チェックが実施されています。しかし、読み取りエンドポイントにはこれらのチェックが欠如しています。 5. 更新エンドポイントが任意のユーザーのデバイスに書き込み、所有権の再割り当てが可能: 更新エンドポイントはリクエストボディから既存デバイスを読み取り、IDで更新しますが、所有者チェックが行われません。更新マッパはリクエストが何を提供しても と に書き込むため、呼び出し元は被害者の を提供し、自身の を付けることでデバイスを自身に再割り当てできます。デバイスはその後、被害者の所有権リストから外れ、攻撃者のリストに表示されます。呼び出し元は任意のデバイス上の 、 、 、 、 を上書きすることもできます。 6. 到達性: デフォルトシードが最低デバイスロールにこれらの権限を付与: シード は、ロール3（general）にデバイスクエリおよび編集権限を付与しています。 POCコード

目標達成すべての支援者に感謝 — 100%達成しました！

FastBee IoT Platform IDOR Vulnerability: Arbitrary Device Read and Ownership Modification via CWE-639

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

FastBee IoT Platform IDOR Vulnerability: Arbitrary Device Read and Ownership Modification via CWE-639

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！