🟠 CVE-2026-56223: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-56223 ist eine kritische Cross-Domain Single-Sign-On (SSO) Account-Takeover-Vulnerability in Capgo vor Version 12.128.2. Sie ermöglicht authentifizierten Angreifern mit Enterprise-Admin-Privilegien, beliebige Benutzerkonten durch manipulierte SAML-Assertions zu übernehmen. Das fehlende Validieren der SSO-Provider-Domain-Autorisierung im provision-user Endpoint stellt eine erhebliche Sicherheitsgefährdung dar.

Betroffene Systeme

Betroffen sind Capgo-Installationen vor Version 12.128.2. Dies umfasst insbesondere Enterprise-Deployments mit aktiviertem SAML-basiertem SSO sowie Systeme, die eine föderierte Identitätsverwaltung nutzen. Die Vulnerability erfordert Org-Admin-Zugriff und Zugang zu einer malicious Identity Provider (IdP) Instanz.

Technische Details

Der provision-user Endpoint verarbeitet SAML-Assertions ohne ordnungsgemäße Domain-Validierung. Ein Angreifer kann SAML-Assertions mit beliebigen E-Mail-Adressen von Opfern konstruieren und diese einreichen. Das System führt dann ein Account-Merge durch, basierend auf E-Mail-Matching, ohne zu verifizieren, ob die SSO-Provider-Domain tatsächlich zum Opfer-Konto berechtigt ist. Dies ermöglicht die Fusion des Angreifer-Kontos mit dem Opfer-Konto, woraufhin der Angreifer vollständigen Zugriff auf das Opfer-Konto, zugehörige Organisationen und Daten erhält.

Empfohlene Massnahmen

• Sofortmassnahmen: Upgrade auf Capgo Version 12.128.2 oder später durchführen
• Validierung: SSO-Provider-Domain-Autorisierung vor Account-Merges prüfen
• Monitoring: Verdächtige Account-Merge-Aktivitäten in Audit-Logs überwachen
• Zugriffsschutz: Org-Admin-Rechte auf notwendige Personen beschränken
• IdP-Sicherheit: Unternehmenseigene Identity Provider auf Compromises prüfen

Bewertung

Mit einem CVSS-Score von 8.7 (High) und fehlender Patch-Verfügbarkeit für ältere Versionen stellt diese Vulnerability ein erhebliches Risiko dar. Die Kombination aus erforderlichem Admin-Zugriff und der Möglichkeit, vollständige Account-Übernahmen durchzuführen, macht ein sofortiges Patching zwingend erforderlich.

„`