🟠 CVE-2026-56254: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-56254 ist eine kritische Sicherheitslücke in @capgo/capacitor-updater (Cap-go/capgo) vor Version 12.128.2. Die Schwachstelle ermöglicht es Angreifern, manipulierte App-Updates zu signieren und auf Endgeräten zu installieren. Das Risiko liegt in einem fehlerhaft implementierten End-to-End-Verschlüsselungsschema mit CVSS-Score 7.0 (High).

Betroffene Systeme

• @capgo/capacitor-updater vor Version 12.128.2
• Cap-go/capgo Deployment-Infrastruktur
• Mobile Anwendungen, die dieses Update-Framework verwenden
• Android- und iOS-Geräte mit verwundbaren App-Versionen

Technische Details

Die Sicherheitslücke liegt in der kryptographischen Schlüsselverwaltung. Das System verteilt den privaten Schlüssel an jedes Gerät, das die App herunterlädt. Dies ist ein grundlegendes kryptographisches Designfehler: Der öffentliche Schlüssel kann trivial aus dem privaten Schlüssel abgeleitet werden. Ein Angreifer mit Zugriff auf:

• Netzwerk-Traffic (Man-in-the-Middle-Angriff)
• Capgo-Server-Infrastruktur (Server-Kompromittierung)

kann damit gültig signierte Update-Bundles erstellen und diese als legitime Updates von der App-Herstellerin ausgeben. Dies ermöglicht die Verteilung von Malware, Ransomware oder anderen Schadprogrammen auf potentiell Millionen von Geräten.

Empfohlene Massnahmen

• Sofortmassnahmen: Update auf @capgo/capacitor-updater Version 12.128.2 oder später durchführen
• Alle bereitgestellten Apps neu signieren mit dem aktualisierten Framework
• Netzwerk-Traffic zur Capgo-Infrastruktur auf Anomalien überwachen
• Deployment-Server auf Anzeichen von Kompromittierung prüfen
• Endbenutzer informieren und zum Update auffordern
• Kryptographische Schlüsselverwaltung überprüfen (Private Keys sollten niemals auf Clients verteilt werden)

Bewertung

CVSS 7.0 (High): Die Schwachstelle bietet Angreifern erhebliche Kontrollmöglichkeiten über App-Verteilung ohne Patch-Verfügbarkeit. Die Kombinationen aus Netzwerk-Angriffsvektor und Möglichkeit zur Massenverteilung von Schadcode stellen ein kritisches Risiko dar. Eine zeitnahe Patchung ist zwingend erforderlich.

„`