CVE-2025-46815
Açıklama
Kimlik altyapı yazılımı ZITADEL, geliştiricilere Session API kullanarak kullanıcı oturumlarını yönetme imkanı sunmaktadır. Bu API, kimlik doğrulama için idp intents olarak bilinen IdP'lerin kullanılmasına olanak tanır. Başarılı bir idp intent işleminin ardından istemci, önceden tanımlanmış bir URI üzerinden bir id ve token alır. Bu id ve token daha sonra kullanıcıyı veya oturumunu kimlik doğrulamak için kullanılabilir. Ancak, 3.0.0, 2.71.9 ve 2.70.10 sürümlerinden önce, bu özelliğin intent'ler tekrar tekrar kullanılarak istismar edilmesi mümkündü. Bu durum, uygulamanın URI'sine erişimi olan bir saldırganın id ve token bilgilerini ele geçirmesine ve böylece kullanıcı adına kimlik doğrulaması yapmasına izin veriyordu. Ek faktörlerin (MFA) kullanımının, tam kimlik doğrulama sürecini ve dolayısıyla ZITADEL API'ye erişimi engellediğini belirtmek önemlidir. 3.0.0, 2.71.9 ve 2.70.10 sürümleri bu sorun için bir düzeltme içermektedir. Güncelleme yapmak dışında bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- zitadel zitadel2.70.10, 2.71.9 ya da sonraki bir sürüm
- github.com/zitadel/zitadel3.0.0, 2.70.10, 2.71.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | v < 2.70.10, 2.71.0 ≤ v < 2.71.9, 3.0.0 | 2.70.10, 2.71.9 |
| github.com/zitadel/zitadelGo | 3.0.0-rc.1 ≤ v < 3.0.0, v < 2.70.10, 2.71.0 ≤ v < 2.71.9, Aralık belirtilmemiş | 3.0.0, 2.70.10, 2.71.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.