CVE-2026-56215: Kontokapring via SSO i Capgo
Fejl i Capgo lader angribere kapre kollegers SSO-konti ved at forudbestille deres e-mail. Opdatér til 12.128.12.
Hvad er det?
CVE-2026-56215 er en autorisationsfejl i Capgo, en platform til at distribuere opdateringer til mobilapps. Fejlen ligger i, at et felt kaldet public.users.email kan ændres frit af enhver logget ind bruger, selvom feltet samtidig bruges af systemet til at afgøre, hvem en SSO-identitet (fælles login via virksomhedens brugerkonto) hører til. En bruger kan derfor sætte sin egen e-mail til en kollegas virksomhedsadresse. Når kollegaen efterfølgende logger ind via SSO, sammenlægger Capgos provisioneringsfunktion automatisk kollegaens rettigheder og adgange med angriberens konto, fordi systemet fejlagtigt stoler på e-mailen som nøgle. Fejlen kaldes teknisk CWE-639: autorisation via en værdi, brugeren selv kan kontrollere.
Hvem rammer det?
Alle virksomheder, der bruger Capgo til at levere over-the-air opdateringer til deres apps, og som har koblet Capgo til virksomhedens SSO-login. Det gælder alle installationer af Capgo før version 12.128.12. Risikoen er størst i organisationer, hvor almindelige medarbejdere selv kan oprette en Capgo-konto, inden de logger ind med SSO første gang.
Hvad kan ske?
En angriber, der allerede har en almindelig konto i Capgo, kan ændre sin e-mail til en kollegas eller lederens virksomhedsadresse, inden vedkommende selv har brugt SSO-login. Når offeret første gang logger ind via virksomhedens SSO, bliver offerets identitet og rettigheder flettet ind i angriberens konto. Angriberen får dermed adgang til offerets app-opdateringer, konfigurationer og eventuelt kode, der distribueres til produktionsapps, hvilket kan bruges til at indsætte skadelig kode i virksomhedens mobilapp.
Hvor alvorligt er det?
CVSS-score er 8,3 af 10, alvorlig. Angreb kræver netværksadgang og en lav-privilegeret konto (PR:L), men ingen handling fra offeret udover normal SSO-login (UI:None). Kompleksiteten er lav, så angrebet er let at udføre teknisk. Konsekvensen er fuld tab af fortrolighed og integritet (C:H, I:H), fordi angriberen overtager offerets identitet i systemet, mens påvirkningen på tilgængelighed er begrænset (A:L). Der er ingen tegn på, at sårbarheden aktivt udnyttes.
Hvad gør jeg nu?
Sårbarheden lukkes af leverandøren, så første skridt er en opdatering.
- Opdatér Capgo til version 12.128.12 eller nyere, hvor feltet public.users.email ikke længere kan misbruges som fusionsnøgle.
- Gennemgå eksisterende brugerkonti i Capgo for uventede e-mailændringer eller konti, der ikke matcher virksomhedens SSO-katalog.
- Tjek logs for provisioneringsflows omkring SSO for at se, om identiteter er blevet flettet unormalt før opdateringen.
- Begræns, hvem der kan oprette en Capgo-konto uden om SSO, indtil opdateringen er gennemført.
- Informér it-driftsansvarlige og udviklere, der arbejder med app-distribution, om at gennemgå adgange efter opdateringen.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på, at konti allerede er blevet flettet forkert, eller hvis I ikke selv kan afgøre omfanget.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Capgo til version 12.128.12 eller nyere hurtigst muligt, da fejlen kan give en almindelig medarbejder mulighed for at overtage en kollegas identitet i systemet. Det er i orden at vente til næste planlagte vindue for driftsændringer, hvis I samtidig lukker for nye kontooprettelser uden SSO i mellemtiden. Har I allerede haft ukontrolleret kontooprettelse i Capgo, bør I gennemgå logs, før I opdaterer, så eventuelle misbrugte konti kan identificeres.
Tidslinje
Konkrete eksempler
Praktikant kaprer teamleders SSO-identitet
En dansk virksomhed lader nye medarbejdere selv oprette en Capgo-konto, inden de får sat op til virksomhedens SSO-login. En praktikant med onde intentioner opretter en konto og ændrer sin e-mail til teamlederens virksomhedsadresse. Da teamlederen senere logger ind via SSO for første gang, fletter Capgo automatisk teamlederens rettigheder til app-opdateringer ind i praktikantens konto, som dermed kan udgive opdateringer i teamlederens navn.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er berørt, hvis I bruger Capgo i en version ældre end 12.128.12, og hvis Capgo er koblet til jeres virksomheds SSO-login. Tjek jeres installerede version i administrationspanelet.
Kræver angrebet, at angriberen allerede har adgang?
Ja, angriberen skal have en almindelig konto i Capgo, men ikke særlige rettigheder. Det gør sårbarheden særligt relevant, hvis medarbejdere eller eksterne samarbejdspartnere selv kan oprette konti.
Kan vi vente med at opdatere til efter weekenden?
Der er ingen kendte tegn på aktiv udnyttelse, så det er forsvarligt at vente til næste arbejdsdag, forudsat at I i mellemtiden lukker for ukontrolleret kontooprettelse i Capgo.
Hvordan finder vi ud af, om nogen allerede har misbrugt fejlen?
Gennemgå brugerkonti for e-mailændringer, der ikke matcher normale medarbejderhandlinger, og undersøg provisioneringslogs for uventede identitetssammenlægninger omkring SSO-login.
Skal vi anmelde dette som et sikkerhedsbrud?
Det afhænger af, om I finder tegn på faktisk misbrug. Hvis logs viser, at en identitet er blevet flettet forkert, og persondata er blevet tilgået uretmæssigt, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, og I bør vurdere det konkret med jeres databeskyttelsesansvarlige.
Påvirker fejlen selve de apps, vi distribuerer til vores brugere?
Ja, hvis en angriber overtager en konto med rettigheder til at udgive opdateringer, kan skadelig kode potentielt distribueres til jeres apps via Capgos opdateringsmekanisme.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Capgo before 12.128.12 allows authenticated users to modify their mutable public.users.email to arbitrary addresses, which the SSO provisioning endpoint trusts as an account-merge key. Attackers can pre-position their account with a victim’s corporate SSO email, causing the provision-user endpoint to merge the victim’s SSO identity into the attacker-controlled account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.