ZITADEL: Fehlende Authentifizierung erlaubt Benutzernamenänderung in Login V1
Zusammenfassung
Die gehostete Login-V1-Oberfläche von ZITADEL ändert einen Benutzernamen, bevor der Login-Ablauf einen Authentifizierungsfaktor geprüft hat. Ein nicht authentifizierter Angreifer, der den Login-Namen eines Opfers kennt, kann jeden aktiven menschlichen Benutzer umbenennen, einschliesslich Instanz-Administratoren, wodurch der legitime Inhaber ausgesperrt wird. Der Angreifer kann das Konto nicht übernehmen, da kein Passwort, keine Session und kein Token offengelegt werden.
Betroffen
- ZITADEL 4.0.0 bis 4.17.3 (inklusive RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.15 (inklusive RC-Versionen)
- Nur Installationen, die die gehostete Login-V1-Oberfläche verwenden. Login V2 ist über diesen Ablauf nicht betroffen. Maschinen- und Service-Konten sind nicht betroffen.
Behoben in
- ZITADEL 4.x: Auf v4.19.1 oder neuer aktualisieren. Version v4.18.0 auslassen, da der Setup-Schritt in dieser Version fehlschlägt.
- ZITADEL 3.x: Es wird kein Fix bereitgestellt. Die Linie 3.x hat das Lebensende am 31.08.2026 erreicht, daher auf eine gepatchte 4.x-Version aktualisieren.
- Der CVE-Eintrag führt 4.18.0 als nicht betroffen auf, die Herstellerempfehlung nennt jedoch v4.19.1.
Umgehung
- Keine Konfiguration schliesst die Lücke auf ungepatchten Versionen vollständig. Das Aktualisieren ist die einzige vollständige Massnahme.
- Bis zur Aktualisierung den Netzwerkzugriff auf die Login-V1-Oberfläche einschränken, zum Beispiel mit einer Allowlist im Reverse Proxy.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Es wurden keine Hinweise auf eine Ausnutzung in der Praxis gefunden. Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
- In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies ist nicht bestätigt abwesend.
Unsere Empfehlung
- Alle ZITADEL-Instanzen und deren Versionen erfassen. Priorisieren Sie aus dem Internet erreichbare Instanzen mit Login V1.
- 4.x-Instanzen auf v4.19.1 oder neuer aktualisieren und 3.x-Instanzen auf eine gepatchte 4.x-Version migrieren.
- Bis dahin den Zugriff auf die Login-V1-Oberfläche einschränken und Audit-Logs auf unerwartete Benutzernamenänderungen prüfen, insbesondere bei Administrator-Konten.
- Sicherstellen, dass der Administratorzugang wiederhergestellt werden kann, falls ein Konto umbenannt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4hgj-wm6c-q7p2 github.com
- VulnCheck advisory for CVE-2026-109371 www.vulncheck.com
- OpenCVE record CVE-2026-109371 app.opencve.io
- ZITADEL hosted login documentation zitadel.com
- VulDB entry 417150 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.