ZITADEL: Kontoübernahme über ungeprüfte Verknüpfung externer IdPs
Zusammenfassung
ZITADEL-Versionen 3.0.0 bis 3.4.15 und 4.0.0 bis 4.17.2 verknüpfen Benutzerkonten mit externen Identity Providern (IdPs), ohne einen primären Faktor oder die Berechtigung des Aufrufers zu prüfen. Ein nicht authentifizierter Angreifer, der den Benutzernamen eines Opfers kennt, kann über die Login-V2-Oberfläche seine eigene externe IdP-Identität mit dem Konto des Opfers verknüpfen und sich anschliessend als Opfer anmelden. Jeder authentifizierte Benutzer kann zudem über die AddIDPLink-API der User Service V2 externe Identitäten vorab beanspruchen. Der Login-V2-Pfad setzt voraus, dass eine Organisation die Verknüpfung externer IdP-Konten erlaubt.
Betroffen
- ZITADEL 4.0.0 bis 4.17.2 (inklusive RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.15 (inklusive RC-Versionen)
Behoben in
- ZITADEL 4.17.3 und neuer (4.x)
- Für 3.x ist kein Fix aufgeführt; laut Hersteller hat die 3.x-Linie am 31.08.2026 das Lebensende erreicht.
Umgehung
- Die Verknüpfung externer IdP-Konten in der Anmelderichtlinie der betroffenen Organisation deaktivieren. Dies schliesst nur den Login-V2-Pfad.
- Falls kein Update möglich ist, den Zugriff auf die User Service V2 API über einen Reverse Proxy oder eine Firewall einschränken (eigene Empfehlung, nicht vom Hersteller).
- Login V1 ist nicht betroffen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept bestätigt (nicht verifiziert).
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS 0.0031 (niedrig).
Unsere Empfehlung
- Selbst betriebene ZITADEL-Instanzen als ersten Schritt auf 4.17.3 oder neuer aktualisieren.
- Beim Hersteller den Supportstatus von 3.x erfragen und 3.x bis zur Bestätigung als ungepatcht behandeln.
- Bis zum Patch die Verknüpfung externer IdP-Konten deaktivieren und die Exposition der User Service V2 API einschränken.
- Audit-Logs unabhängig vom Patchstand auf kürzliche IdP-Verknüpfungsereignisse prüfen.
- Aus dem Internet erreichbare Instanzen priorisieren, da sie ohne Zugangsdaten angreifbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g8gj-gq47-xgf4 github.com
- VulnCheck advisory: ZITADEL before 4.17.3 Account Takeover via External IdP Linking www.vulncheck.com
- Tenable CVE-2026-105207 www.tenable.com
- OSV CVE-2026-105207 osv.dev
- Forkast: ZITADEL CVE cluster (secondary source) forkast.news
- The Hacker Wire: CVE-2026-105207 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.