Amit-Laish

يحتوي ZITADEL، وهو منصة مفتوحة المصدر لإدارة الهوية، على ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) في واجهة تسجيل الدخول V2 الخاصة به، وتحديدًا داخل نقطة النهاية `/saml-post`. تسمح هذه الثغرة باحتمال الاستيلاء على الحساب من خلال تمكين تنفيذ كود JavaScript ضار في متصفح الضحية. ينشأ المشكل عن إعادة توجيه غير آمنة باستخدام المعلمة `url` وعن انعكاس المدخلات التي يقدمها المستخدم دون الترميز HTML المناسب. يمكن لمهاجم غير معتمد استغلال هذا الثغرة عن طريق إنشاء رابط ضار، مما قد يؤدي إلى إعادة تعيين كلمات المرور والاستيلاء على الحسابات. لا تتطلب هذه الثغرة تكاملاً مع SAML لاستغلالها ويمكن أن تؤثر على ZITADEL في إعداداته الافتراضية. تقبل نقطة النهاية `/saml-post` المعلمتين `url` و`id`.

كان برنامج ZITADEL، وهو منصة مفتوحة المصدر لإدارة الهوية، يعاني من ثغرة في واجهة تسجيل الدخول V2 الخاصة به. كانت هذه الثغرة تسمح للمستخدمين بالتحايل على إجراءات تسجيل الدخول وسياسات الأمان، مما يتيح لهم التسجيل الذاتي لحسابات جديدة أو تسجيل الدخول باستخدام كلمات المرور حتى في الحالات التي يكون فيها مسؤولو المؤسسة قد عطلوا هذه الخيارات. يمكن للمهاجم إرسال طلبات HTTP مباشرة إلى واجهة تسجيل الدخول لإنشاء حسابات في المؤسسات التي تم فيها تعطيل التسجيل الذاتي والحصول على وصول غير مصرح به. ويمكن استخدام نفس وسيلة الهجوم للمصادقة باستخدام اسم مستخدم وكلمة مرور حتى عندما تكون طريقة تسجيل الدخول هذه معطلة.

ZITADEL هو أداة مفتوحة المصدر للبنية التحتية للهوية، وهي معرضة لثغرة أمنية تتمثل في تزوير الطلبات من جانب الخادم (SSRF) غير المصادق عليه والقابل للقراءة بالكامل. تعتمد واجهة تسجيل الدخول في ZITADEL (V2) بشكل غير صحيح على رأس `x-zitadel-forward-host`، مما يسمح لمهاجم غير مصدق عليه بإجبار الخادم على إرسال طلبات HTTP إلى نطاقات عشوائية. وقد يؤدي ذلك إلى تسرب البيانات والتحايل على ضوابط تقسيم الشبكة. تسمح هذه الثغرة الأمنية بالتحرك عبر الشبكة، مما يتيح للمهاجمين رسم خريطة للبنية التحتية الداخلية.

برنامج ZITADEL، وهو أداة مفتوحة المصدر للبنية التحتية للهوية، معرض لثغرة أمنية من نوع Cross-Site Scripting (XSS) تعتمد على DOM عبر نقطة نهاية تسجيل الخروج في Zitadel V2. تقوم نقطة نهاية واجهة برمجة التطبيقات (API) `/logout` بإعادة التوجيه بشكل غير آمن إلى قيمة مقدمة في معلمة GET `post logout redirect`. وهذا يسمح لمهاجم بعيد غير مصدق بتنفيذ كود JavaScript ضار في متصفحات مستخدمي ZITADEL. تتطلب هذه الثغرة وجود عدة جلسات مستخدم نشطة في نفس المتصفح لاستغلالها. يتم الحد من اختطاف الحساب عند تمكين المصادقة متعددة العوامل (MFA) أو المصادقة بدون كلمة مرور.

ZITADEL هي منصة مفتوحة المصدر لإدارة الهوية. توجد مشكلة محتملة في آلية إعادة تعيين كلمة المرور في ZITADEL في عملية تسجيل الدخول V2. تستخدم المنصة رأس «Forwarded» أو «X-Forwarded-Host» في الطلبات الواردة لإنشاء عنوان URL لرابط تأكيد إعادة تعيين كلمة المرور، والذي يتضمن رمزًا سريًا ويتم إرساله إلى المستخدم عبر البريد الإلكتروني.

Zitadel هو برنامج مفتوح المصدر للبنية التحتية للهوية. توجد مشكلة محتملة في آلية إعادة تعيين كلمة المرور، حيث يستخدم Zitadel رأس `Forwarded` أو `X-Forwarded-Host` من الطلبات المستلمة لإنشاء عنوان URL لرابط تأكيد إعادة تعيين كلمة المرور. ثم يتم إرسال هذا الرابط، الذي يحتوي على رمز سري، عبر البريد الإلكتروني إلى المستخدم. إذا تمكن المهاجم من التلاعب بهذه الرؤوس، فسيكون بإمكانه حمل Zitadel على إنشاء رابط إعادة تعيين كلمة المرور يشير إلى نطاق ضار يسيطر عليه المهاجم. وإذا نقر المستخدم على هذا الرابط المُتلاعب به في البريد الإلكتروني، فسيتمكن المهاجم من الاستيلاء على الرمز السري لإعادة تعيين كلمة المرور المضمن في عنوان URL. ويمكن بعد ذلك استخدام هذا الرمز الذي تم الاستيلاء عليه لإعادة تعيين كلمة مرور المستخدم والحصول على وصول غير مصرح به إلى حسابه. يتم التخفيف من هذا النوع المحدد من الهجمات في الحسابات التي تم تمكين المصادقة متعددة العوامل (MFA) أو المصادقة بدون كلمة مرور فيها.

تحتوي واجهة برمجة التطبيقات (API) الخاصة بالإدارة في برنامج البنية التحتية للهوية مفتوح المصدر Zitadel على ثغرات أمنية تتعلق بالإشارة المباشرة إلى كائنات غير آمنة (IDOR)، مما يسمح للمستخدمين المصادق عليهم الذين لا يمتلكون أدوارًا محددة في إدارة الهوية والوصول (IAM) بتعديل الإعدادات الحساسة. تكمن الثغرة الأكثر خطورة في القدرة على التلاعب بإعدادات LDAP. لا يتعرض العملاء الذين لا يستخدمون LDAP للمصادقة لخطر الجوانب الأكثر خطورة لهذه الثغرة. ومع ذلك، يُوصى بشدة بالتحديث إلى الإصدار المصحح لمعالجة جميع المشكلات التي تم تحديدها. تتأثر عدة نقاط نهاية، بما في ذلك `/idps/ldap` و`/idps/ldap/{id}`، مما قد يسمح للمستخدمين غير المصرح لهم بتعديل إعدادات LDAP لمثيل ZITADEL أو الكشف عن كلمة مرور خادم LDAP الأصلي. وتشمل نقاط النهاية المتأثرة الأخرى `/idps/templates/ search` و`/idps/templates/{id}` و`/policies/label/ activate` و`/policies/label/logo` و`/policies/label/logo dark` و`/policies/label/icon` و`/policies/label/icon dark` و`/policies/label/font` و`/text/message/p

ZITADEL provides users the possibility to use Time-based One-Time-Password (TOTP) and One-Time-Password (OTP) through SMS and Email. While ZITADEL already gives administrators the option to define a `Lockout Policy` with a maximum amount of failed password check attempts, there was no such mechanism for (T)OTP checks.

ZITADEL users can upload their own avatar image and various image types are allowed. Due to a missing check, an attacker could upload HTML and pretend it is an image to gain access to the victim's account in certain scenarios. A possible victim would need to directly open the supposed image in the browser, where a session in ZITADEL needs to be active for this exploit to work. The exploit could only be reproduced if the victim was using Firefox. Chrome, Safari as well as Edge did not execute the code.

Zitadel is an open source identity management system that uses a cookie to identify the user agent and its user sessions. Although the cookie was handled according to best practices, it was accessible on subdomains of the ZITADEL instance. An attacker could take advantage of this and provide a malicious link hosted on the subdomain to the user to gain access to the victim’s account in certain scenarios. A possible victim would need to login through the malicious link for this exploit to work. If the possible victim already had the cookie present, the attack would not succeed. The attack would further only be possible if there was an initial vulnerability on the subdomain, such as the attacker being able to control DNS or a XSS vulnerability in an application hosted on a subdomain.

DataHub is an open-source metadata platform. In affected versions, a low privileged user could remove a user, edit group members, or edit another user's profile information due to overly broad default privileges. This issue can result in privilege escalation for lower privileged users up to admin privileges if a group with admin privileges exists. The issue may not impact instances that have modified default privileges.

ZITADEL is an identity infrastructure system that uses the `Forwarded` or `X-Forwarded-Host` header to build the button link sent in emails for confirming a password reset with the emailed code. If this header is overwritten and a user clicks the link to a malicious site in the email, the secret code can be retrieved and used to reset the user's password and take over their account. Accounts with MFA or Passwordless enabled cannot be taken over by this attack.

The issue concerns the use of a SHA-1 HMAC with a short key length for signing session tokens in DataHub Frontend, making it vulnerable to brute force attacks by sufficiently resourced actors. An authenticated attacker could exploit this to obtain escalated privileges by generating a privileged session cookie. The vulnerability is exacerbated by the default settings of the Play LegacyCookiesModule and the shorter than recommended key length for the signing key.

The issue concerns an open-source metadata platform where sign-up through an invite link does not properly restrict users from signing up as privileged accounts. If a user is given an email sign-up link, they can potentially create an admin account under certain preconditions. Specifically, if the default datahub user has been removed but the default policies applying to that user remain, a user can sign up for an account that leverages these policies to gain admin privileges. There are no known workarounds for this issue.

The Argo CD repo-server component is vulnerable to a Denial-of-Service attack vector. This vulnerability occurs because the component extracts a user-controlled tar.gz file without validating the size of its inner files. As a result, a malicious, low-privileged user can send a malicious tar.gz file that exploits this vulnerability to the repo-server, thereby harming the system's functionality and availability. Additionally, the repo-server is susceptible to another vulnerability due to the fact that it does not check the extracted file permissions before attempting to delete them. Consequently, an attacker can craft a malicious tar.gz archive in a way that prevents the deletion of its inner files when the manifest generation process is completed.

The issue is related to the SpiceDB database system, specifically with the `/debug/pprof/cmdline` endpoint served by the metrics service, which reveals command-line flags provided for debugging purposes. If a password is set via the `--grpc-preshared-key` flag, the key is revealed by this endpoint along with any other flags provided to the SpiceDB binary. This can allow an attacker to gain unauthorized access to sensitive information. Users configuring SpiceDB via environment variables or following recommended best practices for production usage are not affected. However, users who expose their metrics port to an untrusted network and configure `--grpc-preshared-key` via command-line flag may be affected.