CVE-2025-64717
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność w procesie federacji ZITADEL pozwalała na automatyczne powiązanie użytkownika z zewnętrznego dostawcy tożsamości z istniejącym kontem wewnętrznym, nawet gdy dany IdP był wyłączony lub organizacja nie zezwalała na uwierzytelnianie federacyjne. Wynikało to z nieegzekwowania polityk bezpieczeństwa organizacji podczas logowania. Wersje 2.71.19, 3.4.4 i 4.6.6 naprawiają problem poprzez prawidłową walidację polityki logowania przed automatycznym powiązaniem.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć istniejące konto użytkownika wewnętrznego, omijając wymuszone przez organizację mechanizmy kontroli bezpieczeństwa. Konta z włączonym MFA nie są podatne na ten atak.
Rekomendacja
Zaktualizuj ZITADEL do wersji 2.71.19, 3.4.4 lub 4.6.6. Nie są znane obejścia problemu inne niż aktualizacja.
Inne podatności w ZITADEL
Zobacz wszystkie- CVE-2026-105215Krytyczne
ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.
- CVE-2026-105209Krytyczne
ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.
- CVE-2026-105207Krytyczne
ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.
- CVE-2025-67494Krytyczne
ZITADEL to narzędzie infrastruktury tożsamości open-source. Wersje 4.7.0 i niższe są podatne na nieuwierzytelnioną podatność SSRF z pełnym odczytem. Interfejs logowania ZITADEL (V2) traktuje nagłówek x-zitadel-forward-host jako zaufany fallback dla wszystkich wdrożeń, w tym samodzielnie hostowanych instancji. Pozwala to nieuwierzytelnionemu atakującemu zmusić serwer do wykonywania żądań HTTP do dowolnych domen, takich jak adresy wewnętrzne, i odczytywania odpowiedzi, co umożliwia eksfiltrację danych i obejście kontroli segmentacji sieci. Problem został naprawiony w wersji 4.7.1.
- CVE-2025-64103Krytyczne
W wersjach Zitadel od 2.53.6, 2.54.3 i 2.55.0 wymagane było uwierzytelnianie wieloskładnikowe tylko wtedy, gdy polityka logowania miała włączone requireMFA lub requireMFAForLocalUsers. Jeśli użytkownik skonfigurował MFA bez tego wymogu, Zitadel uznawał sesje z pojedynczym składnikiem za ważne i nie wymagał wielu składników. Pominięcie drugiego składnika osłabia MFA i umożliwia atakującemu obejście bezpieczniejszego składnika, np. atak na sam kod TOTP (sześć cyfr) z pominięciem weryfikacji hasła. Podatność naprawiono w wersjach 4.6.0, 3.4.3 i 2.71.18.
- CVE-2025-64102Krytyczne
Zitadel przed wersjami 4.6.0, 3.4.3 i 2.71.18 pozwala atakującemu na przeprowadzenie ataku brute-force online na OTP, TOTP i hasła. Mechanizm blokady konta, który może temu zapobiec, nie jest domyślnie włączony i może powodować odmowę usługi dla danego użytkownika, jeśli zostanie włączony. Ponadto strategie mitygacji nie zostały w pełni wdrożone w nowszych API opartych na zasobach.
- CVE-2026-119129Wysokie
ZITADEL w wersjach od 3.0.0 do 3.4.15 oraz od 4.0.0 przed 4.19.5 zawiera podatność braku autoryzacji w Login V2, która pozwala atakującym zatwierdzić autoryzacje urządzeń OAuth 2.0 przy użyciu istniejącej sesji ofiary bez jej zgody. Atakujący może wysłać zalogowanemu użytkownikowi link z własnym kodem użytkownika, aby uzyskać tokeny ofiary, oraz obejść ustawienia dostępu projektu przez API autoryzacji urządzeń OIDC.
- CVE-2026-119128Wysokie
ZITADEL w wersjach 4.0.0 przed 4.19.5 zawiera podatność obejścia uwierzytelniania w interfejsie Login V2, która pozwala nieuwierzytelnionym atakującym ustawić pierwsze poświadczenie użytkowników niemających żadnej metody uwierzytelniania. Atakujący może obliczyć ważny plik cookie verificationCheck na podstawie identyfikatora użytkownika i odcisku przeglądarki, aby ustawić hasło, zarejestrować passkey lub powiązać dostawcę tożsamości, przejmując konto.
- CVE-2026-119127Wysokie
W ZITADEL w wersjach od 4.0.0 do 4.19.5 występuje podatność na wstrzyknięcie nagłówka hosta w interfejsie Login V2. Nieuwierzytelniony atakujący może zatruć linki do resetowania hasła, zaproszeń i weryfikacji e-mail, dostarczając niezaufane nagłówki x-zitadel-public-host, x-zitadel-forward-host lub x-forwarded-host.
- CVE-2026-109374Średnie
ZITADEL 3.0.0 przed 4.19.2 zawiera lukę pozwalającą na eskalację uprawnień w wymianie tokenów OIDC, która umożliwia podszywanie się pod administratorów, w tym IAM_OWNER, z pominięciem mechanizmów kontrolnych. Atakujący posiadający role IAM_END_USER_IMPERSONATOR lub ORG_END_USER_IMPERSONATOR mogą logować się do aplikacji polegających na tym systemie jako administratorzy.
Oryginalny opis (angielski, źródło NVD)
ZITADEL is an open source identity management platform. Starting in version 2.50.0 and prior to versions 2.71.19, 3.4.4, and 4.6.6, a vulnerability in ZITADEL's federation process allowed auto-linking users from external identity providers to existing users in ZITADEL even if the corresponding IdP was not active or if the organization did not allow federated authentication. This vulnerability stems from the platform's failure to correctly check or enforce an organization's specific security settings during the authentication flow. An Organization Administrator can explicitly disable an IdP or disallow federation, but this setting was not being honored during the auto-linking process. This allowed an unauthenticated attacker to initiate a login using an IdP that should have been disabled for that organization. The platform would incorrectly validate the login and, based on a matching criteria, link the attacker's external identity to an existing internal user account. This may result in a full Account Takeover, bypassing the organization's mandated security controls. Note that accounts with MFA enabled can not be taken over by this attack. Also note that only IdPs create on an instance level would allow this to work. IdPs registered on another organization would always be denied in the (auto-)linking process. Versions 4.6.6, 3.4.4, and 2.71.19 resolve the issue by correctly validating the organization's login policy before auto-linking an external user. No known workarounds are available aside from upgrading.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS