Zulip Server: Authentifizierungsumgehung durch nicht verifizierte E-Mail bei OpenID Connect

Zusammenfassung

Das generische OpenID-Connect-Backend von Zulip Server prüft einen explizit gesetzten email_verified=false-Claim des Identity Providers nicht. Liefert ein konfigurierter Identity Provider eine E-Mail-Adresse, die der authentifizierende Benutzer nicht kontrolliert, kann dieser unter Umständen in das bestehende Zulip-Konto zu dieser Adresse eingeloggt werden. Voraussetzung ist ein falsch konfigurierter, vertrauenswürdiger Identity Provider; Installationen, deren Identity Provider nur vom Benutzer kontrollierte E-Mail-Adressen ausgibt, sind nicht betroffen.

Betroffen

• Zulip Server bis Version 12.1 (CNA/NVD-Eintrag: Versionen unterhalb 12.2)
• Möglicherweise auch 12.0 und neuer, laut einem Aggregator; noch nicht gegen die Herstellerwarnung bestätigt
• Nur Installationen mit dem generischen OpenID-Connect-Login-Backend (GenericOpenIdConnectBackend)

Behoben in

• Behoben in Zulip Server 12.2
• Aktuelle stabile Linie: 12.3 (der Hersteller hat nicht bestätigt, ob 12.3 weitere Änderungen für dieses Problem enthält)

Umgehung

Unbekannt.

• Kein vom Hersteller dokumentierter Workaround gefunden. Das Aktualisieren auf 12.2 oder neuer ist die Behebung des Herstellers.
• Prüfen Sie, ob Ihr Identity Provider nur E-Mail-Adressen ausgibt, die von den Benutzern kontrolliert werden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden; fehlende Treffer sind kein Beweis, dass keiner existiert.
• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
• Der Hersteller stuft die Schwachstelle als niedrig ein; der CVSS-4.0-Wert der CNA beträgt 9.1 (kritisch).

Unsere Empfehlung

• Prüfen Sie, ob eine Zulip-Instanz das generische OpenID-Connect-Login-Backend verwendet.
• Aktualisieren Sie betroffene Instanzen auf Zulip Server 12.2 oder neuer.
• Prüfen Sie, ob der Identity Provider nur E-Mail-Adressen sendet, die von den Benutzern kontrolliert werden, und keinen email_verified=false-Claim liefert.
• Überprüfen Sie Logins von Konten, deren E-Mail-Adresse mit einer externen Identität übereinstimmt, insbesondere Administratorkonten.
• Falls keine Zulip-Instanz OpenID Connect verwendet, ist über das normale Patchen hinaus keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Zulip commit 68d2d9d: Reject OIDC logins with an unverified email address github.com
• Zulip commit b40f191: Reject OIDC logins with an unverified email address github.com
• Zulip pull request 39913 github.com
• Zulip Server 12.2 release github.com
• GitHub Security Advisory GHSA-xw9h-9rcm-hx4m github.com
• Zulip Server 12.2 security release blog post blog.zulip.com
• Zulip authentication methods documentation zulip.readthedocs.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:36.