CVE-2026-82454: Login-omgåelse i Omnivore via Apple-ID
Kritisk fejl i Omnivores Apple-login gør det muligt at forfalske login-tokens og overtage konti. Opdatér med det samme.
Hvad er det?
CVE-2026-82454 er en sårbarhed i Omnivores API, det bagvedliggende system i open source-tjenesten Omnivore til at gemme og læse artikler senere. Fejlen sidder i den funktion, der bekræfter login via Apple (Apple sign-in). Når en bruger logger ind, sender Apple et signeret token, en digitalt signeret besked, der bekræfter brugerens identitet. Omnivores kode læste selv, hvilken krypteringsmetode tokenet påstod at bruge, og stolede blindt på den oplysning. En angriber kunne derfor ændre algoritmen til en svagere type (HS256) og signere sit eget falske login-token med Apples offentligt tilgængelige nøgle som hemmelig kode. Resultatet er, at systemet accepterer et forfalsket login-token uden at kunne se forskel på ægte og falsk. Fejlen er rettet i commit abf53d6.
Hvem rammer det?
Sårbarheden rammer organisationer, der selv driver Omnivore-serveren, herunder packages/api-komponenten, og har aktiveret login med Apple-ID. Det gælder alle versioner af Omnivores API frem til rettelsen i commit abf53d6. Danske virksomheder og kommuner, der bruger Omnivore som intern videndelingstjeneste eller til at samle nyheder og research, kan være berørt, hvis Apple-login er slået til for medarbejdere eller borgere.
Hvad kan ske?
En angriber uden adgang til systemet kan forfalske et login-token og dermed logge ind som en hvilken som helst bruger, der har koblet sin konto til Apple-ID. Angriberen får adgang til brugerens gemte artikler, noter og fremhævninger, og kan i praksis overtage kontoen fuldstændigt. Angrebet kræver ingen adgangskode, ingen brugerinteraktion fra offeret og kan udføres over internettet.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ikke login, ingen særlige rettigheder og ingen handling fra brugeren, det kan udføres direkte over netværket. Fortrolighed og integritet er begge vurderet til høj påvirkning, fordi angriberen kan læse og potentielt ændre data som den forfalskede bruger. Tilgængeligheden påvirkes ikke, systemet bliver ikke sat ud af drift. Der er ikke rapporteret om aktiv udnyttelse i skarpt miljø, men den tekniske beskrivelse af fejlen er offentliggjort så detaljeret, at et fungerende angreb er ligetil at bygge.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Omnivore API til den version, der indeholder rettelsen fra commit abf53d6, det fjerner selve fejlen i tokenverificeringen.
- Kan opdateringen ikke ske med det samme, deaktivér Apple-login midlertidigt, så funktionen ikke kan misbruges.
- Gennemgå login-logs for usædvanlig aktivitet på konti, der bruger Apple-ID, særligt logins fra ukendte lokationer eller enheder.
- Tving alle brugere til at logge ud og ind igen efter opdateringen, så gamle sessioner ikke længere er gyldige.
- Kontakt os, hvis I ikke selv kan afgøre, om jeres installation kører en sårbar version, eller hvis I finder tegn på misbrug.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer jeres Omnivore-installation til den rettede version så hurtigt som muligt, da angrebet ikke kræver login eller brugerinteraktion. Har I Apple-login aktiveret og ikke kan opdatere øjeblikkeligt, bør I deaktivere funktionen som midlertidig sikring. Det er kun i orden at vente, hvis I helt har slået Apple-login fra og kan bekræfte det i jeres konfiguration.
Tidslinje
Konkrete eksempler
Intern videndelingstjeneste hos en dansk kommune
En kommune bruger en selv-hostet Omnivore-installation, hvor medarbejdere logger ind med deres Apple-ID for at samle og dele artikler og analyser internt. En angriber, der har fundet kommunens Omnivore-adresse, forfalsker et login-token og logger ind som en medarbejder uden at kende adgangskoden. Angriberen får dermed adgang til interne noter og delte dokumenter, som kan indeholde fortrolige oplysninger om sagsbehandling.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I selv hoster Omnivores API-komponent og har aktiveret login med Apple-ID. Bruger I kun en skyudgave af Omnivore eller har Apple-login slået fra, er I ikke direkte udsat.
Hvordan tjekker vi, om vores installation er opdateret?
Se om jeres kodebase indeholder rettelsen fra commit abf53d6 i packages/api, eller kontrollér udgivelsesnoterne for den version, I kører, hos Omnivore-projektet.
Kan vi vente til weekenden med at opdatere?
Nej, ikke hvis Apple-login er aktivt. Angrebet kræver ikke login og kan udføres når som helst over internettet, så vi anbefaler at opdatere eller deaktivere funktionen samme dag.
Skal vi anmelde dette som sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at konti er blevet misbrugt via forfalskede tokens. Er der sket adgang til personoplysninger uden lovligt grundlag, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Hvad hvis vi ikke bruger Apple-login i Omnivore?
Så er jeres installation ikke sårbar via denne specifikke fejl, da angrebet udelukkende går gennem Apple sign-in-funktionen.
Kan vi bare deaktivere Apple-login i stedet for at opdatere?
Det lukker hullet på kort sigt, men vi anbefaler stadig at opdatere til den rettede version, så funktionen kan bruges sikkert fremadrettet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Omnivore API (packages/api) before the fix in commit abf53d6 contains an authentication bypass in Apple sign-in token verification. The decodeAppleToken function extracted the ‘alg’ field from the attacker-supplied JWT header and passed it as the sole allowed algorithm to jwt.verify(). Using jsonwebtoken v8 (which does not validate key/algorithm compatibility), an attacker can set alg=HS256 and sign a forged token using Apple’s publicly available RSA public key as the HMAC secret, bypassing signature verification and impersonating any Apple-linked account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.