ZITADEL: Session-Hijacking und Diebstahl von IdP-Tokens durch fälschbare Intent-Tokens

Zusammenfassung

ZITADEL, ein Open-Source-Identity-Provider, schützt IdP-Intent-Tokens für externe Identity-Provider-Anmeldungen mit einer Verschlüsselung ohne Integritätsprüfung. Ein authentifizierter Benutzer mit gültigem Konto auf derselben Instanz kann sein eigenes Token so verändern, dass das Backend es für die ausstehende externe Anmeldung eines anderen Benutzers akzeptiert. Wenn der Angreifer zusätzlich die Intent-Kennung des Opfers vorhersagt und ein Timing-Rennen gewinnt, kann er die externen IdP-Tokens des Opfers auslesen oder dessen Sitzung übernehmen. Der Angriff ist probabilistisch und zeitlich begrenzt, und Instanzen ohne externe Identity Provider sind nicht betroffen.

Betroffen

• ZITADEL 4.0.0 bis 4.17.2 (inklusive RC-Versionen)
• ZITADEL 3.0.0 bis 3.4.15 (inklusive RC-Versionen)

Behoben in

• ZITADEL 4.x: behoben in 4.17.3
• ZITADEL 3.x: kein Fix; laut Herstellerhinweis hat die 3.x-Linie das Lebensende am 31.08.2026 erreicht. Auf eine gepatchte 4.x-Version aktualisieren.

Umgehung

• Auf ungepatchten Versionen gibt es keine Konfiguration, die die Lücke vollständig schliesst; ein Update ist die empfohlene Lösung.
• Teilweise Minderung für selbst gehostete Instanzen: strikte Rate-Limits und Bot-Schutz vor der API durchsetzen, was das Risiko senkt, aber nicht beseitigt.

Ausnutzung

• Ausnutzung in freier Wildbahn: Unbekannt. Laut einem Tracker nicht im Katalog CISA Known Exploited Vulnerabilities erfasst.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Der Hersteller beschreibt den Angriff als probabilistisch und zeitlich begrenzt (geschätzte Erfolgswahrscheinlichkeit von etwa 1,25 Prozent innerhalb von 15 Sekunden).

Unsere Empfehlung

• Alle selbst gehosteten ZITADEL-Instanzen auf 4.17.3 oder neuer aktualisieren.
• 3.x-Deployments ausser Betrieb nehmen oder auf eine gepatchte 4.x-Version migrieren, da für 3.x kein Fix bereitgestellt wird.
• Prüfen, ob ZITADEL aus dem Internet erreichbar ist und für externe IdP-Anmeldungen oder als SSO für Geschäftsanwendungen genutzt wird.
• Bis zum Update strikte Rate-Limits und Bot-Schutz vor der ZITADEL-API anwenden.
• Die weiteren am selben Tag veröffentlichten ZITADEL-Schwachstellen prüfen und zusammen patchen.
• Authentifizierungsprotokolle auf ungewöhnliche Intent- oder Session-Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-jh3m-cr2x-qp88 github.com
• VulnCheck Advisory: ZITADEL before 4.17.3 Session Hijacking via Forgeable IdP Intent Tokens www.vulncheck.com
• OSV record CVE-2026-105208 osv.dev
• ZITADEL documentation: Login users zitadel.com
• ZITADEL GitHub security advisories github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:40.