CVE-2026-27945 in Zitadel
要約
〜によって VulDB • 2026年08月01日
ZITADELはオープンソースのアイデンティティ管理プラットフォームです。Zitadel Action V2（v2.59.0で早期プレビューとして導入され、v3.0.0でベータ版となり、v4.0.0で一般提供(GA)されました）は、開発者がZITADELへのAPIリクエストに対してアクションを起こし、トークンの発行などのフローをカスタマイズできるようにするためのWebhookベースのアプローチです。ZitadelのActionターゲットURLがローカルホストを指す場合、攻撃者は内部ネットワーク情報を収集したり内部サービスに接続したりする可能性があります。URLがローカルホストまたはIPアドレスを指している場合、攻撃者は内部ネットワーク構造や内部ホストで公開されているサービスなどの情報収集を行うおそれがあります。これはServer-Side Request Forgery (SSRF) と呼ばれることがあります。Zitadel Actionは特定のスキーマに従ったレスポンスを期待するため、脅威ベクトルが軽減されます。v4.11.1の修正パッチでは、ターゲットURLをデニーリストでチェックすることでこの問題を解決しています。デフォルトではlocalhostおよびループバックIPアドレスは拒否されます。なお、この修正はv4.xシリーズでのみリリースされました。機能の実装段階（プレビュー/ベータ）がv2.xおよびv3.xにあったこと、それ以降に適用された変更の規模、ならびに重大度や実際の脅威ベクトルを考慮し、該当バージョンへのバックポートは実行不可能でした。v4.xへのアップグレードができない場合は、回避策セクションに記載されている代替ソリューションをご確認ください。アップグレードが不可能な場合、自前のインフラストラクチャでネットワークポリシーまたはファイアウォールルールを設定することで、アクションによる意図しないエンドポイントの使用を防止してください。なお、これはZitadelが提供する機能の範囲外です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.