CVE-2026-56216: Rettighedsfejl i Capgo giver fuld adgang
Fejl i Capgo (CVE-2026-56216) lader en begrænset API-nøgle oprette en fuld nøgle med adgang til hele organisationen. Opdatér til 12.128.2.
Hvad er det?
Capgo er en tjeneste, der bruges til at sende opdateringer direkte til mobilapps bygget med Capacitor, uden at gå gennem App Store eller Google Play. I versioner før 12.128.2 er der en fejl i endepunktet POST /functions/v1/apikey, hvor en API-nøgle med begrænset adgang, kaldet en app-limited nøgle, kan bruges til at oprette en ny nøgle uden begrænsninger. Det sker ved at sende en tom liste af begrænsninger, når den nye nøgle oprettes. Fejlen kaldes rettighedseskalering: en bruger eller et system med begrænset adgang opnår fuld adgang, det ikke er tiltænkt.
Hvem rammer det?
Det rammer virksomheder, der bruger Capgo i version før 12.128.2 til at distribuere opdateringer til deres mobilapps. Særligt relevant for virksomheder, der udsteder app-begrænsede API-nøgler til udviklere, CI/CD-pipelines eller tredjepartsintegrationer, da netop disse nøgler er indgangen til fejlen.
Hvad kan ske?
Hvis en angriber får fat i en app-begrænset nøgle, for eksempel via en lækket miljøvariabel i en byggepipeline eller et kompromitteret udviklerværktøj, kan angriberen oprette en ubegrænset nøgle med adgang til hele organisationens ressourcer i Capgo. Det giver adgang til andre apps end den oprindelige, oversigt over app-lister og andre beskyttede endepunkter. I værste fald kan angriberen manipulere med opdateringer, der distribueres til slutbrugernes telefoner.
Hvor alvorligt er det?
CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver netværksadgang, ingen brugerhandling og lav kompleksitet, men det kræver, at angriberen allerede har en gyldig app-begrænset API-nøgle. Det er altså ikke noget, en tilfældig udefrakommende kan udnytte uden først at have skaffet en nøgle, men konsekvensen ved udnyttelse er fuld adgang til fortrolighed, integritet og tilgængelighed af data i organisationen. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Prioritér disse skridt:
- Opdatér Capgo til version 12.128.2 eller nyere, hvor fejlen er rettet.
- Gennemgå alle udstedte API-nøgler og vurdér, om nogen bør tilbagekaldes og genudstedes efter opdateringen.
- Kontrollér logs for uventet oprettelse af nye API-nøgler eller usædvanlig adgang til app-lister i perioden før opdateringen.
- Stram op på, hvor app-begrænsede nøgler opbevares, for eksempel i CI/CD-systemer, så de ikke kan læses af uvedkommende.
- Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv kan verificere, om jeres Capgo-opsætning er sårbar, eller hvis I finder tegn på misbrug.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Capgo til 12.128.2 eller nyere snarest, og at I samtidig gennemgår, hvem der har adgang til app-begrænsede API-nøgler. Det er i orden at planlægge opdateringen som en almindelig opgave i løbet af nogle dage, da udnyttelse forudsætter, at en nøgle allerede er kompromitteret. Har I mistanke om, at en nøgle er lækket, bør I dog handle med det samme og tilbagekalde den.
Tidslinje
Konkrete eksempler
Lækket nøgle i byggepipeline
En dansk virksomhed bruger Capgo til at sende opdateringer til deres kundevendte app. En udvikler har lagt en app-begrænset API-nøgle i en byggepipeline, som ved en fejl bliver eksponeret i en offentlig logfil. En angriber finder nøglen og bruger den til at oprette en ubegrænset nøgle, hvorefter angriberen får adgang til virksomhedens øvrige apps og kan se følsomme oplysninger om appdistribution i organisationen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger Capgo i en version før 12.128.2 til at håndtere opdateringer af jeres mobilapp. Tjek jeres nuværende version i administrationspanelet eller hos jeres udviklingsteam.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Gennemgå logs for oprettelse af nye API-nøgler, især hvis en nøgle pludselig får bredere adgang end forventet. Se også efter usædvanlig adgang til app-lister fra ukendte klienter.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I ikke har mistanke om, at en API-nøgle er lækket. Sårbarheden kræver, at angriberen allerede har en gyldig nøgle, så risikoen er lavere, indtil en nøgle er kompromitteret. Vi anbefaler dog ikke at udskyde opdateringen længere end nødvendigt.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder konkrete tegn på, at en uautoriseret nøgle har fået adgang til data, bør I vurdere, om det udløser anmeldepligt efter databeskyttelsesreglerne, og eventuelt kontakte Datatilsynet samt jeres forsikringsselskab.
Hvad gør vi ved eksisterende API-nøgler, når vi har opdateret?
Vi anbefaler, at I gennemgår alle udstedte nøgler efter opdateringen og tilbagekalder dem, I ikke længere har brug for eller ikke kan redegøre for oprindelsen af.
Kræver det adgang til vores system, at nogen kan udnytte fejlen?
Ja, angriberen skal have en gyldig app-begrænset API-nøgle for at kunne udnytte fejlen. Uden en sådan nøgle kan sårbarheden ikke udnyttes direkte.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Capgo before 12.128.2 contains a scope escalation vulnerability in the POST /functions/v1/apikey endpoint that allows app-limited API keys to mint unrestricted keys by setting empty limits. Attackers with a compromised app-limited key can create an unrestricted key with org-wide access to resources like app listings and other protected endpoints.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.