ZITADELのLogin V2に認証回避の脆弱性、4.19.5で修正
Summary
ID管理基盤のZITADELで、ログイン画面のLogin V2を通じて、認証なしにアカウントを乗っ取られるおそれがあります。自社でZITADELを運用していて4.0.0以降を使っているなら、バージョンを確認して修正版へ更新してください。あわせて、まだ認証手段を一つも設定していないユーザーがいないかを洗い出しておくと、被害の範囲を絞れます。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ID管理基盤のZITADELで、ログイン画面のLogin V2を通じて、認証なしにアカウントを乗っ取られるおそれがあります。自社でZITADELを運用していて4.0.0以降を使っているなら、バージョンを確認して修正版へ更新してください。あわせて、まだ認証手段を一つも設定していないユーザーがいないかを洗い出しておくと、被害の範囲を絞れます。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| zitadel | zitadel |
≥ 4.0.0, < 4.19.5 |
4.19.5 |
Original description The description as published by the source.
ZITADEL 4.0.0 before 4.19.5 contains an authentication bypass vulnerability in the Login V2 UI that allows unauthenticated attackers to set the first credential of users lacking any authentication method. Attackers can compute a valid verificationCheck cookie from the user ID and browser fingerprint to set a password, register a passkey, or link an identity provider, taking over the account.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com