ZITADEL: Authentifizierungsumgehung für Benutzer deaktivierter Organisationen
Zusammenfassung
ZITADEL 4.x vor 4.17.1 prüft bei der Authentifizierung über Login V2 nur den Status des einzelnen Benutzers und ignoriert, ob dessen Organisation deaktiviert wurde. Benutzer einer deaktivierten Organisation, die noch gültige Zugangsdaten, eine bestehende Sitzung oder ein Refresh-Token besitzen, können sich anmelden, Sitzungen erstellen und Tokens beziehen oder erneuern. Login V1 ist nicht betroffen, und vor der Deaktivierung ausgestellte Sitzungen und Tokens können bis zu ihrem Ablauf weiterhin funktionieren.
Betroffen
- ZITADEL 4.x vor 4.17.1 (Hersteller: 4.0.0 bis 4.17.0, einschliesslich RC-Versionen)
- Alle Versionen unter 4.17.1 gelten als betroffen. Der OSV-Eintrag nennt einen breiteren Bereich, der nicht mit der Herstellerangabe verifiziert werden konnte.
Behoben in
- Auf ZITADEL 4.17.1 oder neuer aktualisieren. Empfohlen wird die neueste stabile 4.x-Version.
Umgehung
- Empfehlung des Herstellers: Auf eine gepatchte Version aktualisieren.
- Falls ein sofortiges Update nicht möglich ist, betroffene Benutzer einzeln deaktivieren. Die Deaktivierung wird durchgesetzt und verhindert die Anmeldung.
- Aktive Sitzungen von Benutzern in deaktivierten Organisationen prüfen und ausstehende Refresh-Tokens widerrufen.
Ausnutzung
- Keine öffentliche Ausnutzung bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle ZITADEL-Instanzen und deren genaue Versionen inventarisieren.
- Exponierte Instanzen unter 4.17.1 auf die neueste stabile 4.x-Version aktualisieren, mit Priorität für Instanzen mit deaktivierten Organisationen oder offboardeten Benutzern.
- Sitzungen und Refresh-Tokens deaktivierter Organisationen widerrufen und Protokolle auf Anmeldungen oder Token-Erneuerungen seit der Deaktivierung prüfen.
- Das GitHub-Sicherheitsadvisory GHSA-558c-v5wc-9w4q für Aktualisierungen abonnieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-558c-v5wc-9w4q github.com
- VulnCheck advisory www.vulncheck.com
- ZITADEL release v4.17.1 github.com
- OSV entry CVE-2026-105213 osv.dev
- VulDB CVE-2026-105213 vuldb.com
- ZITADEL API documentation: DeactivateOrganization zitadel.com
- Red Packet Security CVE alert CVE-2026-105213 www.redpacketsecurity.com
- threatint CVE record CVE-2026-105213 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.