ZITADEL: Authentifizierungsumgehung durch Account-Pre-Hijacking im Login V1
Zusammenfassung
Die gehostete Login-V1-Oberfläche von ZITADEL vertraut im Registrierungsendpunkt für «externes Konto nicht gefunden» vom Client gelieferten externen Identitätsfeldern. Ein nicht authentifizierter Angreifer kann ein Konto vorab erstellen, das an die externe IdP-Identität eines Opfers gebunden ist; der spätere echte externe Login des Opfers meldet sich dann in dieses vom Angreifer vorbereitete Konto an. Voraussetzung ist, dass Login V1 verwendet wird und mindestens ein externer IdP die manuelle Kontoerstellung erlaubt. Login V2 ist nicht betroffen.
Betroffen
- ZITADEL 4.0.0 bis 4.16.1 (inklusive RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.13 (inklusive RC-Versionen)
- Die Quellen unterscheiden sich leicht; der CVE-Eintrag und VulnCheck nennen «vor 4.16.2» und «vor 3.4.14».
Behoben in
- ZITADEL 4.16.2 oder neuer (4.x)
- ZITADEL 3.4.14 oder neuer (3.x)
Umgehung
- Die Option «Kontoerstellung erlaubt (manuell)» auf jedem konfigurierten externen IdP deaktivieren. Dies blockiert den verwundbaren Pfad, deaktiviert aber auch die legitime Selbstregistrierung über diesen IdP.
- Die automatische Kontoerstellung ist nicht betroffen; mit deaktivierter manueller Erstellung wird der verwundbare Pfad vermieden. Bleibt die manuelle Erstellung auf einem IdP aktiv, bleibt dieser Pfad offen.
- Dies ist eine Workaround-Massnahme, keine Behebung.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA-KEV-Katalog; in den geprüften Quellen ist kein bestätigter öffentlicher Proof of Concept vorhanden.
- Nicht verifizierte Berichte über Angriffsaktivitäten existieren, sind für diese Schwachstelle jedoch nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob ZITADEL-Instanzen der Version 3.x unter 3.4.14 oder 4.x unter 4.16.2 laufen und ob Login V1 verwendet wird.
- Auf 4.16.2 oder 3.4.14 oder neuer aktualisieren, bzw. auf eine neuere Version mit den übrigen Korrekturen aus derselben Veröffentlichungswelle, und die eingesetzte Version überprüfen.
- Bis zur Aktualisierung die manuelle Kontoerstellung auf allen externen IdPs deaktivieren und die Einstellung in der Admin-Konsole kontrollieren.
- Audit-Logs auf externe Kontoerstellungen prüfen, denen kein IdP-Login vorausging.
- Aus dem Internet erreichbare Instanzen mit höchster Priorität behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-738m-7888-jfv8 github.com
- VulnCheck advisory: ZITADEL before 4.16.2 Account Pre-Hijacking www.vulncheck.com
- OffSeq threat radar: CVE-2026-105215 radar.offseq.com
- TheHackerWire: CVE-2026-105215 www.thehackerwire.com
- Tenable: CVE-2026-105215 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.