【活用ガイド】

JVNDB-2026-004807

複数のGardyn脆品における複数の脆弱性

概要

Gardynが提供する複数の製品には、次の複数の脆弱性が存在します。
  • 重要情報の平文送信（CWE-319） - CVE-2025-29628
  • 認証情報を初期設定のまま使用（CWE-1392） - CVE-2025-29629
  • OSコマンドインジェクション（CWE-78） - CVE-2025-29631
  • ハードコードされた認証情報の使用（CWE-798） - CVE-2025-1242
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Gardyn
  • Home Kit Cloud API 2.12.2026より前のバージョン
  • Home Kit Mobile Application 2.11.0より前のバージョン
  • Home Kit Firmware master.619より前のバージョン

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。
  • 中間者攻撃によって、当該機器の認証情報を取得されたり、機器を操作されたりする（CVE-2025-29628）
  • 当該機器へ不正にアクセスされる（CVE-2025-29629）
  • 当該機器上で任意のOSコマンドを実行される（CVE-2025-29631）
  • 管理者権限でGardyn IoT Hubへ不正にアクセスされる（CVE-2025-1242）
対策

CVE-2025-29631
開発者はモバイルアプリの修正版を準備中です。修正版がリリースされるまでの間、最新のファームウェアで製品を使用してください。

[アップデートする]
上記以外の脆弱性に対して、開発者はモバイルアプリのアップデートを提供しています。
ファームウェアの自動アップデートを適用できるように、当該機器をネットワークに接続しておいてください。

詳細は、開発者が提供する情報を確認してください。
ベンダ情報

Gardyn
CWEによる脆弱性タイプ一覧  CWEとは?

  1. デフォルトの認証情報の使用(CWE-1392) [その他]
  2. 重要な情報の平文での送信(CWE-319) [その他]
  3. OSコマンドインジェクション(CWE-78) [その他]
  4. ハードコードされた認証情報の使用(CWE-798) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2025-1242
  2. CVE-2025-29628
  3. CVE-2025-29629
  4. CVE-2025-29631
参考情報

  1. JVN : JVNVU#96431025
  2. ICS-CERT ADVISORY : ICSA-26-055-03
更新履歴

  • [2026年02月26日]
      掲載

公表日2026/02/25
登録日2026/02/26
最終更新日2026/02/26