Gardyn, firma especializada en jardines hidropónicos, habría sido víctima de cuatro fallos en su software que podrían haber permitido a piratas informáticos tomar el control a distancia de sus dispositivos, según ha comunicado la agencia de ciberseguridad CISA.
CISA ha alertado sobre dos vulnerabilidades críticas y dos de alta gravedad descubiertas en los huertos inteligentes de la firma, incluyendo los modelos Gardyn Home y Gardyn Studio.
La primera de ellas (CVE-2025-2961) permitía ejecutar comandos arbitrarios del sistema operativo en los dispositivos de autenticación, otorgando control total sobre el kit de jardín. En la segunda (CVE-2025-1242) se exponían las contraseñas hardcodeadas, que podrían ser usadas para obtener acceso administrativo completo al Gardyn IoT Hub.
En cuanto a las vulnerabilidades de alta gravedad, se halló una (CVE-2025-29628) que facilitaba información confidencial enviada en texto claro a través de Azure IoT Hub, susceptible a ataques de tipo Man-in-the-Middle (MitM). La última (CVE-2025-29629) posibilitaba el acceso remoto vía SSH usando contraseñas por defecto.
Michael Groberman, el investigador de ciberseguridad a quien CISA atribuye el informe de las vulnerabilidades, ha publicado sus propios avisos, estimando que aproximadamente 138.000 dispositivos se vieron afectados.
Muy ‘verdes’ en protección de datos
En conversaciones con SecurityWeek el experto comentó que las vulnerabilidades de gravedad crítica podrían haber sido explotadas de manera remota desde Internet sin autenticación ni interacción del usuario de ningún tipo.
El fabricante de jardines hidropónicos indica en su aviso que a través de estas brechas un atacante podría aprovechado las fallas para tomar el control remoto de un dispositivo, incluso para modificar la iluminación o el riego de las plantas.
Los piratas informáticos también podrían haber obtenido acceso a fotos de las plantas e información personal limitada, como nombre, dirección, correo electrónico y número de teléfono.
No obstante, Gardyn asevera que por el momento no hay indicios de que ningún ciberdelincuente haya aprovechado estos fallos para hackear jardines reales. Tampoco parece que se haya expuesto información muy delicada, como tarjetas de pago.
Groberman ha reconocido que su investigación se basó en los hallazgos de otro investigador, Kristof Mattei, el cual los dio a conocer en verano del año pasado. Cuando Mattei hizo su revelación original parece que el proveedor y ahabía tomado algunas medidas para abordar las vulnerabilidades.
Acerca del autor
