ZITADEL Login V2: Fehlende Autorisierung bei der Genehmigung von Geräteautorisierungen
Zusammenfassung
ZITADEL Login V2 genehmigt OAuth-2.0-Geräteautorisierungen mit der bestehenden angemeldeten Sitzung des Browsers, ohne Zustimmung abzufragen oder den auf dem Gerät angezeigten Benutzercode zu verlangen. Ein Angreifer, der eine Geräteautorisierung startet und einen angemeldeten Benutzer dazu bringt, einen einzigen Link zu öffnen, kann die Tokens dieses Benutzers erhalten, inklusive API-Zugriff mit dem ZITADEL-Projekt-Scope. Dieselbe fehlende Prüfung erlaubt über die OIDC-Geräteautorisierungs-API die Umgehung der Projektzugriffseinstellungen.
Betroffen
- ZITADEL 4.0.0 bis vor 4.19.5 (inklusive RC-Versionen)
- ZITADEL 3.0.0 bis 3.4.15 (inklusive RC-Versionen)
- Nur Instanzen mit einer Anwendung, die den Device-Code-Grant-Typ verwendet, sind angreifbar.
Behoben in
- ZITADEL 4.19.5 und neuer
- Die 3.x-Release-Linie hat das Lebensende am 31.08.2026 erreicht und wird keine Korrektur erhalten.
Umgehung
- Keine Konfiguration schliesst die Lücke auf ungepatchten Versionen vollständig.
- Wenn der Device-Authorization-Flow nicht genutzt wird, den Device-Code-Grant-Typ aus allen Anwendungen entfernen; dies verhindert beide Angriffsvektoren.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- In den Quellen ist keine öffentliche Ausnutzung dokumentiert.
Unsere Empfehlung
- ZITADEL-4.x-Instanzen auf 4.19.5 oder neuer aktualisieren.
- Die Migration jeder 3.x-Bereitstellung auf eine gepatchte 4.x-Version planen, da 3.x nicht mehr korrigiert wird.
- Bis zur Korrektur den Device-Code-Grant-Typ aus Anwendungen entfernen, die ihn nicht benötigen.
- Logs auf unerwartete Geräteautorisierungen und Token-Ausstellungen für Administratorkonten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qj3q-235g-qr6w github.com
- VulnCheck advisory: ZITADEL Account Takeover via Device Authorization Approval www.vulncheck.com
- ZITADEL release v4.19.5 github.com
- ZITADEL documentation: Login UI device authorization zitadel.com
- VulDB entry for CVE-2026-119129 vuldb.com
- NVD mirror (threatint) for CVE-2026-119129 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.