CVE-2026-97063: Kritisk kontoovertagelse i X-SpringBoot
X-SpringBoot (CVE-2026-97063) sender login-koder ukrypteret retur i HTTP-svar, så angribere kan kapre konti uden login. Bloker de sårbare endepunkter i dag.
Hvad er det?
CVE-2026-97063 er en fejl i autentificering (CWE-287) i systemet X-SpringBoot til og med version 6.0. Når en bruger beder om en engangskode til login via mobilnummer eller e-mail, sender endepunkterne GET /sys/mobile/code og GET /sys/email/code koden direkte tilbage i HTTP-svaret, i stedet for kun at sende den til kontoejerens telefon eller e-mail. Der kræves ingen adgangskode eller login for at kalde disse endepunkter. En angriber, der kender et mobilnummer eller en e-mailadresse, kan derfor selv hente koden og bruge den til at logge ind som offeret via POST /sys/emailOrMobileLogin/login.
Hvem rammer det?
Sårbarheden rammer alle virksomheder og kommuner, der kører X-SpringBoot i version 6.0 eller ældre, herunder administrationspaneler og brugerportaler bygget på dette system. Enhver konto, hvor mobilnummer eller e-mailadresse er kendt eller kan gættes, kan overtages. Det gælder både medarbejderkonti og kundekonti, hvis systemet vender ud mod internettet.
Hvad kan ske?
En angriber kan overtage konti uden at kende adgangskoden, blot ved at kende brugerens mobilnummer eller e-mail. Det giver adgang til de data og funktioner, kontoen har rettigheder til, for eksempel kundedata, fakturaer eller administrative funktioner. For en dansk SMV kan det betyde uautoriseret adgang til kundeoplysninger og risiko for videre misbrug, for eksempel svindel i kundens navn eller adgang til flere systemer, hvis kontoen har brede rettigheder.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver hverken login, adgangskode eller brugerhandling fra offeret, det kan udføres over internettet med lav kompleksitet. Fortrolighed og integritet rammes hårdt, mens tilgængeligheden af systemet ikke påvirkes. Der er ikke oplyst om aktiv udnyttelse i praksis på offentliggørelsestidspunktet, men fremgangsmåden er enkel at udnytte, så risikoen for hurtig udnyttelse er reel.
Hvad gør jeg nu?
Følg disse trin i rækkefølge:
- Bloker eller begræns adgangen til endepunkterne GET /sys/mobile/code, GET /sys/email/code og POST /sys/emailOrMobileLogin/login udefra, for eksempel via firewall eller webapplikationsfirewall, indtil en rettelse foreligger.
- Gennemgå logfiler for gentagne kald til disse tre endepunkter fra ukendte IP-adresser, det kan afsløre forsøg på kontoovertagelse.
- Tving nulstilling af adgangskoder og aktivér, hvis muligt, en ekstra login-faktor for konti, der kan have været udsat.
- Hold øje med vendorens hjemmeside for en opdateret version af X-SpringBoot, og opdatér, så snart en rettelse er tilgængelig.
- Overvej at flytte login-verifikation til en løsning, der ikke afsløre koder i responser, hvis systemet ikke opdateres hurtigt.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres opsætning er sårbar, eller hvis I finder tegn på misbrug.
Bloker endepunkter i dag
Vi anbefaler, at I straks begrænser adgangen til de tre nævnte endepunkter, uanset om I har set tegn på misbrug endnu. Det er ikke i orden at vente til en planlagt opdatering, fordi angrebet kræver hverken login eller brugerhandling og derfor kan udføres i det skjulte. Når vendoren udgiver en rettet version, bør den installeres hurtigst muligt, og indtil da er netværksbegrænsning og logovervågning det, der reelt lukker hullet.
Tidslinje
Konkrete eksempler
Kontoovertagelse hos en dansk mellemstor virksomhed
En virksomhed bruger X-SpringBoot som administrationssystem for kundeservice. En angriber kender en medarbejders e-mailadresse fra virksomhedens hjemmeside, kalder GET /sys/email/code, læser koden i svaret og logger ind som medarbejderen via POST /sys/emailOrMobileLogin/login. Herfra får angriberen adgang til kundedata og interne funktioner uden at kende nogen adgangskode.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger X-SpringBoot i en sårbar version?
Tjek jeres installation eller kontakt den leverandør, der har opsat systemet. Alle versioner til og med 6.0 er berørt ifølge de tilgængelige oplysninger.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver ikke login eller brugerhandling og kan udføres automatiseret på kort tid. Bloker endepunkterne, så snart I kan.
Hvordan tjekker vi, om vi allerede er ramt?
Gennemgå adgangslogfiler for kald til GET /sys/mobile/code, GET /sys/email/code og POST /sys/emailOrMobileLogin/login fra ukendte eller udenlandske IP-adresser, især gentagne kald med forskellige mobilnumre eller e-mailadresser.
Skal vi anmelde hændelsen til Datatilsynet?
Hvis I finder tegn på, at personoplysninger er tilgået uden tilladelse, kan der være tale om et brud på persondatasikkerheden, som skal vurderes efter databeskyttelsesforordningen. Kontakt jeres databeskyttelsesrådgiver eller Auroa for en konkret vurdering.
Er der en rettelse fra leverandøren?
Der er på offentliggørelsestidspunktet ikke oplyst om en officiel opdatering. Indtil da er netværksbegrænsning af de sårbare endepunkter den bedste beskyttelse.
Kan vi selv lukke hullet uden at opdatere systemet?
Ja, delvist. Ved at blokere eller kraftigt begrænse adgangen til de tre endepunkter fra eksterne IP-adresser kan I forhindre, at angrebet lykkes, selv uden en opdatering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
X-SpringBoot through 6.0 returns login verification codes in HTTP responses from unauthenticated endpoints GET /sys/mobile/code and GET /sys/email/code without sending them to account owners. Attackers can request codes using known mobile numbers or email addresses, read them from responses, and authenticate as victims via POST /sys/emailOrMobileLogin/login to hijack accounts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.