ZITADEL: Authentifizierungsumgehung im SAML-Identity-Provider-Callback
Zusammenfassung
ZITADEL weist eine Authentifizierungsumgehung im SAML-Identity-Provider-Intent-Callback auf, der von Login V2 und benutzerdefinierten Login-Oberflächen verwendet wird. Ein Angreifer mit Organisationsadministrator-Berechtigung kann einen SAML-Identity-Provider mit einem selbst kontrollierten Signaturschlüssel registrieren und eine authentifizierte Sitzung als beliebiger Benutzer erlangen, der mit einem anderen SAML-Provider auf derselben Instanz verknüpft ist, auch in anderen Organisationen. Die Schwachstelle betrifft nur Instanzen mit mindestens zwei SAML-Identity-Providern und gewährt für sich allein keine administrativen Rechte.
Betroffen
- ZITADEL 4.0.0 bis 4.19.1 (inklusive RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.15 (inklusive RC-Versionen)
- Relevant nur für Instanzen mit zwei oder mehr SAML-Identity-Providern
Behoben in
- 4.x: Upgrade auf 4.19.2 oder neuer
- 3.x: Kein Fix; die Linie 3.x hat das Lebensende am 31.08.2026 erreicht, daher ist ein Upgrade auf eine gepatchte 4.x-Version nötig
Umgehung
- Auf ungepatchten Versionen gibt es keine Konfiguration, die die Lücke vollständig schliesst.
- Selbst gehostete Instanzen können die öffentliche Organisationsregistrierung (DisallowPublicOrgRegistration) deaktivieren, um den unauthentifizierten Weg zur Organisationsadministrator-Berechtigung zu entfernen. Bestehende Organisationsadministratoren sind davon nicht betroffen.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den Quellen wurde keine Ausnutzung in freier Wildbahn gefunden; dies ist kein bestätigter Negativbefund.
Unsere Empfehlung
- Alle ZITADEL-Instanzen und deren Versionen identifizieren.
- Instanzen 4.x auf 4.19.2 oder neuer aktualisieren.
- Instanzen 3.x auf eine gepatchte 4.x-Version migrieren, da für 3.x kein Fix verfügbar ist.
- SAML-Identity-Provider-Konfigurationen und Zuweisungen der Organisationsadministratoren auf unerwartete Einträge prüfen.
- Organisationsadministrator-Berechtigungen auf das nötige Minimum beschränken und Änderungen an Identity Providern überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-x4c7-fpcx-w9q6 github.com
- VulnCheck advisory: ZITADEL account takeover via SAML identity provider confusion www.vulncheck.com
- OSV entry CVE-2026-109372 osv.dev
- ZITADEL GitHub releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.