CVE-2026-56073: Fejl i Cap-go giver kontoovertagelse
Cap-go før version 12.128.2 har en kritisk fejl i OTP-godkendelse, der giver kontoovertagelse. Opdatér til 12.128.2 eller nyere.
Hvad er det?
Cap-go er en tjeneste, der bruges til at sende opdateringer direkte til mobilapps bygget med Capacitor, uden at gå gennem App Store eller Google Play. CVE-2026-56073 er en fejl i den måde, systemet verificerer OTP-koder, som er engangskoder sendt til brugerens e-mail for at bekræfte identitet. Fejlen ligger i CWE-345, utilstrækkelig kontrol af, om data er ægte: systemet kontrollerer ikke tilstrækkeligt, om svaret fra serveren rent faktisk kommer fra serveren. En angriber kan derfor opsnappe verifikationsforespørgslen og ændre svaret, så det fejlagtigt fremstår som godkendt, selv uden at have gennemført den rigtige e-mailbekræftelse.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger Cap-go til at distribuere opdateringer til deres Capacitor-baserede mobilapps, i alle versioner før 12.128.2. Det gælder både virksomheder, der selv har integreret Cap-go i deres app, og udviklingspartnere, der administrerer app-opdateringer på kundens vegne. Er man i tvivl om, hvilken version der er i brug, bør det tjekkes i konfigurationen eller hos den udvikler, der har opsat løsningen.
Hvad kan ske?
En angriber kan omgå e-mailbekræftelsen og dermed aktivere totrinsgodkendelse på egne præmisser eller overtage en konto uden at kende det rigtige svar på OTP-koden. Har kontoen adgang til at udgive app-opdateringer, kan angriberen i praksis få kontrol over den kanal, hvor opdateringer sendes ud til alle brugere af appen. Det åbner for, at skadelig kode kan blive distribueret som en almindelig opdatering til medarbejderes eller kunders telefoner, uden at nogen opdager det, før skaden er sket.
Hvor alvorligt er det?
CVSS-scoren er 9,4 af 10, hvilket er kritisk. Sårbarheden kan udnyttes over internettet uden at kræve login og uden at brugeren skal foretage sig noget, hvilket gør angrebet enkelt at udføre for en angriber, der kan opsnappe eller manipulere netværkstrafik. Konsekvensen er fuld adgang til fortrolige data og mulighed for at ændre kontoens tilstand, mens påvirkningen på tilgængelighed er begrænset. Der er ikke offentliggjort oplysninger om aktiv udnyttelse, men den lave kompleksitet betyder, at det kan ændre sig hurtigt, når detaljerne bliver kendt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Cap-go til version 12.128.2 eller nyere. Det lukker selve fejlen i OTP-verifikationen.
- Gennemgå logs for uventet aktivering af totrinsgodkendelse eller mistænkelige kontoændringer siden sårbarheden blev kendt.
- Tvangsnulstil adgangskoder og totrinsgodkendelse for konti med adgang til at udgive app-opdateringer, hvis der er tvivl om integriteten.
- Gennemgå seneste app-opdateringer udgivet via Cap-go for at sikre, at ingen uautoriseret kode er blevet distribueret.
- Kontakt jeres app-udvikler eller Cap-go-partner, hvis I ikke selv administrerer opdateringsplatformen, og bed om bekræftelse på, at opdateringen er gennemført.
Opdatér inden for 48 timer
Vi anbefaler, at opdateringen til 12.128.2 gennemføres hurtigst muligt, da sårbarheden giver adgang til den kanal, der distribuerer kode til jeres app-brugere. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da konsekvensen ved udnyttelse rammer alle, der bruger appen. Er opdateringen allerede gennemført, er det tilstrækkeligt at gennemgå logs for uregelmæssigheder, og der er ikke behov for yderligere akutte tiltag.
Tidslinje
Konkrete eksempler
Skadelig app-opdatering til kunder
En dansk virksomhed bruger Cap-go til at sende opdateringer til sin medarbejder-app uden om App Store. En angriber opsnapper OTP-verifikationen, overtager en administratorkonto og udgiver en manipuleret opdatering, som installeres automatisk på alle medarbejderes telefoner. Først dage senere opdager it-afdelingen uregelmæssigheder i loginforsøg og finder frem til den falske opdatering.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af Cap-go?
Tjek versionsnummeret i jeres Cap-go-konfiguration eller hos den udvikler, der har sat løsningen op. Alle versioner før 12.128.2 er sårbare.
Kan vi vente med opdateringen til efter weekenden?
Det bør undgås. Sårbarheden kræver ikke login og kan udnyttes over internettet, og konsekvensen rammer den kanal, der sender opdateringer til jeres app-brugere. Vi anbefaler at opdatere inden for 48 timer.
Er vi ramt, hvis vi ikke selv administrerer Cap-go?
Bruger jeres app opdateringer via Cap-go, er I ramt, uanset om det er jeres eget team eller en ekstern udvikler, der administrerer platformen. Kontakt den ansvarlige part og bed om bekræftelse på opdatering.
Er sårbarheden udnyttet i praksis?
Der er ikke offentliggjort oplysninger om aktiv udnyttelse på tidspunktet for offentliggørelsen. Den lave angrebskompleksitet betyder dog, at det kan ændre sig hurtigt.
Skal vi anmelde noget, hvis vi opdager tegn på misbrug?
Finder I tegn på uautoriseret kontoovertagelse eller distribution af skadelig app-kode, bør det behandles som et sikkerhedsbrud med underretning til ledelse og eventuelt Datatilsynet, hvis persondata er involveret.
Hvad koster det at vente med at opdatere?
Ventetid øger risikoen for, at en angriber overtager en konto med adgang til appens opdateringskanal og distribuerer skadelig kode til alle brugere. Opdateringen selv tager typisk kort tid at gennemføre.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Cap-go before 12.128.2 contains an authentication bypass vulnerability in OTP verification that allows attackers to bypass email verification by modifying server responses. Attackers can intercept OTP verification requests and manipulate HTTP responses to falsely mark verification successful, enabling unauthorized 2FA enablement and account takeover.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.