CVE-2025-64717 in Zitadel
要約
〜によって VulDB • 2026年05月23日
ZITADELはオープンソースのアイデンティティ管理プラットフォームです。バージョン2.50.0以降、かつバージョン2.71.19、3.4.4、4.6.6より前のバージョンにおいて、ZITADELのフェデレーションプロセスに脆弱性があり、対応するIdPがアクティブでない場合や、組織がフェデレーション認証を許可していない場合でも、外部アイデンティティプロバイダーからのユーザーがZITADEL内の既存ユーザーに自動リンクされる可能性があります。この脆弱性は、認証フロー中に組織の特定のセキュリティ設定を正しく確認または強制しないプラットフォームの欠陥に起因します。組織管理者はIdPを明示的に無効化したり、フェデレーションを禁止したりできますが、この設定は自動リンクプロセス中に尊重されていませんでした。これにより、認証されていない攻撃者は、その組織に対して無効化されるべきIdPを使用してログインを開始することができました。プラットフォームはログインを誤って検証し、一致する基準に基づいて、攻撃者の外部アイデンティティを既存の内部ユーザーアカウントにリンクしました。これにより、組織が義務付けるセキュリティ制御をバイパスした完全なアカウント乗っ取り（Account Takeover）につながる可能性があります。ただし、MFAが有効化されているアカウントはこの攻撃によって乗っ取られることはありません。また、この攻撃が機能するのは、インスタンスレベルで作成されたIdPのみです。他の組織に登録されたIdPは、(自動)リンクプロセスにおいて常に拒否されます。バージョン4.6.6、3.4.4、および2.71.19は、外部ユーザーを自動リンクする前に組織のログインポリシーを正しく検証することで、この問題を解決します。アップグレードを除き、既知の回避策はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.