ZITADEL: Authentifizierungsumgehung über OTP-Rückgabecodes in Login V2
Zusammenfassung
Die gehostete Login-V2-Oberfläche von ZITADEL kann von einem nicht authentifizierten Angreifer missbraucht werden, der nur den Login-Namen eines Opfers kennt. Sind bei diesem Opfer sowohl OTP-E-Mail als auch OTP-SMS hinterlegt, kann der Angreifer beide Einmalcodes aus den Antworten der Server-Aktionen auslesen und eine vollständig MFA-authentifizierte Sitzung erhalten. Ist das Opfer ein Instanz-Administrator, kann dies zur vollständigen Übernahme der Instanz führen.
Betroffen
- ZITADEL 4.0.0 bis 4.17.0 (inklusive RC-Versionen)
- ZITADEL-Versionen vor 4.17.1 gemäss CVE-Eintrag
- Version 3.x: Unbekannt. Die Tabelle der betroffenen Versionen im GHSA prüfen.
Behoben in
- Behoben in ZITADEL 4.17.1
- Spätere 4.x-Versionen enthalten ebenfalls die Korrektur; ein separates, späteres Problem (CVE-2026-119127) betrifft 4.0.0 bis vor 4.19.5
Umgehung
- Auf ungepatchten Versionen existiert keine Konfiguration, die die Lücke vollständig schliesst.
- Nicht gleichzeitig OTP-E-Mail und OTP-SMS auf demselben Konto hinterlegen, insbesondere für IAM_OWNER-Benutzer.
- TOTP, U2F-/Sicherheitsschlüssel oder Passkeys als zweiten Faktor bevorzugen.
Ausnutzung
- Gemäss verfügbaren Quellen ist keine Ausnutzung bekannt; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept-Exploit bestätigt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle ZITADEL-Instanzen und deren Versionen erfassen und prüfen, ob der Login-Endpunkt aus dem Internet erreichbar ist.
- Auf die neueste 4.x-Version aktualisieren, mindestens auf 4.17.1.
- Konten, insbesondere Administratoren, auf hinterlegte OTP-E-Mail- und OTP-SMS-Faktoren prüfen und diese durch stärkere Faktoren ersetzen.
- Anmelde- und Administrationssitzungsprotokolle auf unerwartete OTP- oder MFA-Ereignisse prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-3gwm-5wx8-4gm6 github.com
- VulnCheck advisory: ZITADEL before 4.17.1 Authentication Bypass www.vulncheck.com
- ZITADEL release v4.17.1 github.com
- OSV entry CVE-2026-105211 osv.dev
- Red Packet Security CVE alert CVE-2026-105211 www.redpacketsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.