ZITADEL: Fehlende Authentifizierung bei MFA-Registrierung in Login V1
Zusammenfassung
Die gehostete Login-V1-Oberfläche von ZITADEL nimmt Registrierungs- und Initialisierungsanfragen für einen zweiten Faktor an, bevor der primäre Faktor geprüft wurde. Ein Angreifer, der nur den Login-Namen eines Opfers kennt, kann eigene TOTP-, OTP-SMS-, OTP-E-Mail- oder U2F-Faktoren registrieren, die verifizierte Telefonnummer überschreiben und durch unterschiedliche Fehlermeldungen gültige Benutzer ermitteln. Die Schwachstelle erlaubt für sich allein keine Kontoübernahme, da das Passwort weiterhin benötigt wird. Anwendungen, die Benutzer über Login V1 authentifizieren, sind betroffen; Login V2 ist nicht betroffen.
Betroffen
- ZITADEL 3.0.0 bis 3.4.14
- ZITADEL 4.0.0 bis 4.17.0
- Nur Installationen, die die gehostete Login-V1-Oberfläche verwenden
Behoben in
- Aktualisierung auf ZITADEL 4.17.1 oder neuer (4.x)
- Aktualisierung auf ZITADEL 3.4.15 oder neuer (3.x)
Umgehung
- Unbekannt. Der Hersteller gibt an, dass keine Konfiguration die Lücke auf ungepatchten Versionen vollständig schliesst; einzig die Aktualisierung behebt das Problem.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Alle ZITADEL-Instanzen und deren Versionen erfassen.
- Auf 4.17.1 oder neuer bzw. 3.4.15 oder neuer aktualisieren.
- Prüfen, ob Login V1 aktiviert und erreichbar ist, insbesondere aus dem Internet.
- MFA-Faktoren und verifizierte Telefonnummern seit dem 4. Oktober 2026 auf unerwartete Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-72q5-mv5c-vxv4 github.com
- VulnCheck Advisory www.vulncheck.com
- ZITADEL v4.17.1 Release Notes github.com
- VulDB CVE-2026-105210 vuldb.com
- HOL Guard CVE-2026-105210 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.