CVE-2024-47060 in Zitadel
要約
〜によって VulDB • 2026年09月10日
Zitadelはオープンソースのアイデンティティ管理プラットフォームです。Zitadelでは、組織が非アクティブ化された後も、関連するプロジェクト、ひいてはそのアプリケーションが依然として有効な状態になります。他の組織に属するユーザーはこれらのアプリケーションを通じて引き続きログインおよびアクセスが可能であり、不正アクセスにつながります。さらに、プロジェクトが非アクティブ化されても、そのアプリケーションへのアクセスがまだ可能である場合もあります。この問題は、Zitadelで組織を非アクティブ化した際に関連するアプリケーションが自動的に非アクティブ化されないことに起因します。アプリケーションのライフサイクルは組織のライフサイクルと厳密に連動していないため、組織またはプロジェクトが無効としてマークされても、そのリソースへのアクセスが可能という状況が生じます。この脆弱性により、組織の非アクティブ化後に制限されるべきだったプロジェクトおよびそれらのリソースに対する不正アクセスが許可されます。本問題を修正したバージョン2.62.1、2.61.1、2.60.2、2.59.3、2.58.5、2.57.5、2.56.6、2.55.8、および2.54.10がリリースされています。ユーザーはアップグレードを行うよう推奨されます。アップグレードができない場合は、アプリケーションを明示的に無効化し、クライアントによるアクセスが許可されないようにしてください。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.