ZITADEL: Authentifizierungsumgehung im Login V2 UI über gefälschtes Session-Cookie
Zusammenfassung
ZITADEL 4.0.0 bis 4.19.1 und 3.0.0 bis 3.4.15 enthalten eine Schwachstelle im gehosteten Login-UI Login V2: Das Session-Cookie ist weder signiert noch wird es validiert. Ein nicht authentifizierter Angreifer, der das Login-UI erreichen und die zeitlich geordnete Session-ID eines Opfers erraten kann, kann ein neues Token für die authentifizierte Session des Opfers erhalten, einschliesslich Sessions, in denen MFA abgeschlossen wurde. Dies kann zur vollständigen Übernahme eines Instanz-Administratorkontos führen; der Angriff hängt vom Zeitpunkt ab und davon, dass die Session-ID erratbar ist.
Betroffen
- ZITADEL 4.0.0 bis 4.19.1 (einschliesslich RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.15 (einschliesslich RC-Versionen). Die 3.x-Linie ist End-of-Life. Ob 3.x Login V2 enthält, ist nicht verifiziert.
- Installationen ohne Login V2 (nur Login V1) sind laut Herstellerhinweis nicht betroffen.
Behoben in
- 4.x: Upgrade auf 4.19.2 oder neuer (Herstellerhinweis).
- Empfohlen: 4.19.5 oder neuer, die Login-V2-Session-Cookies signiert (Release-Notes, nicht unabhängig verifiziert).
- 3.x: Kein Fix verfügbar; Upgrade auf eine gepatchte 4.x-Version.
Umgehung
- Auf ungepatchten Versionen gibt es keine vollständige Workaround-Lösung; ein Upgrade ist erforderlich.
- Teilweise Abschwächung: Ratenbegrenzung für Anfragen an das Login-UI, zum Beispiel am Reverse Proxy. Die Lücke wird damit nicht geschlossen.
- Netzwerkzugriff auf das Login-UI nach Möglichkeit einschränken.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden; Status unbekannt.
- In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
- CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total.
- EPSS 0.00423 (niedrig).
Unsere Empfehlung
- Upgrade auf 4.19.5 oder neuer, mindestens auf 4.19.2.
- Nach dem Upgrade ZITADEL_SESSION_COOKIE_SECRET setzen (mindestens 32 Zeichen).
- Benutzer informieren, dass sie sich nach dem Upgrade erneut am Login-UI anmelden müssen.
- Prüfen, ob das Login-V2-UI aus dem Internet erreichbar ist, und den Zugriff einschränken oder ratenbegrenzen.
- Aktuelle Administrator-Anmeldungen auf Auffälligkeiten prüfen.
- Priorität: hoch für selbst gehostete Instanzen mit aus dem Internet erreichbarem Login V2.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-jh92-5mrj-p2w2 github.com
- VulnCheck advisory for CVE-2026-109373 www.vulncheck.com
- ZITADEL releases github.com
- OSV entry CVE-2026-109373 osv.dev
- Strix CVE record CVE-2026-109373 www.strix.ai
- Threatint CVE record CVE-2026-109373 cve.threatint.com
- VulDB entry 417164 vuldb.com
- HOL Guard CVE summary CVE-2026-109373 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.