Lucasdodgson

تعاني واجهة مستخدم Login V2 من ثغرة حقن ترويسة المضيف (host header injection). يمكن للمهاجمين غير المصرح لهم تسميم روابط إعادة تعيين كلمة المرور، والدعوات، وروابط التحقق من البريد الإلكتروني عن طريق تقديم قيم غير موثوقة في ترويسات `x-zitadel-public-host` أو `x-zitadel-forward-host` أو `x-forwarded-host`. إذا عرف المهاجم اسم تسجيل دخول الضحية، فيمكنه توجيه الروابط في رسائل البريد الإلكتروني الأصلية إلى مضيف تابع له، وجمع الرموز ذات الاستخدام الواحد عند فتح الروابط، والاستيلاء على الحسابات بما في ذلك حسابات مسؤولي المثيل.

يحتوي Login V2 على مشكلة نقص في التفويض تسمح للمهاجمين بالموافقة على تفويضات أجهزة OAuth 2.0 باستخدام جلسة قائمة للضحية دون موافقتها. من خلال إرسال رابط لمستخدم مسجل الدخول يحتوي على رمز مستخدم المهاجم، يمكن للمهاجم الحصول على رموز الضحية وتجاوز إعدادات الوصول إلى المشروع عبر واجهة برمجة تطبيقات تفويض جهاز OIDC.

يوجد خلل في تجاوز المصادقة في واجهة مستخدم Login V2. يمكن للمهاجمين غير المصرح لهم الحصول على رموز جلسات مستخدمين آخرين عن طريق تزوير ملفات تعريف ارتباط جلسة غير موقعة. من خلال تخمين معرفات الجلسات المرتبة زمنياً المرتبطة بتسجيل دخول الضحية وتقديم رموز فارغة، يمكن للمهاجمين تلقي رموز مدورة. يسمح هذا بالسيطرة الكاملة على الحسابات، بما في ذلك جلسات المسؤولين الذين أكملوا بالفعل المصادقة متعددة العوامل (MFA)، وهي عملية أمنية تتطلب عاملين أو أكثر من عوامل التحقق.

An authentication bypass exists in the hosted Login V1 and Login V2 UIs. The system allows the enrollment of a passkey or other authenticator during identify-only login sessions before a primary factor is verified. An unauthenticated attacker who knows a victim's login name can register an attacker-controlled authenticator to gain unauthorized access to the account, bypassing passwords and multi-factor authentication (MFA).

An issue exists where links are created between user accounts and external identity providers without verifying a primary factor or the caller's permission. This occurs during identify-only Login V2 sessions and via the User Service V2 'AddIDPLink' endpoint. An unauthenticated attacker who knows a victim's login name can bind their own external identity provider identity to the victim's account to hijack it and sign in as the victim.

A missing authentication flaw exists in the hosted Login V1 UI. The second-factor enrollment and initialization handlers process identify-only sessions before the primary factor is verified. An attacker with knowledge of a victim's login name can enroll attacker-controlled TOTP, OTP-SMS, OTP-Email, or U2F factors, overwrite the verified phone number, and enumerate users by analyzing discrepant error messages.

An authentication bypass exists in Login V2 that allows unauthenticated attackers to take over accounts. Attackers who know the login name of a victim enrolled in OTP-Email and OTP-SMS can obtain One-Time Password (OTP) codes through the `returnCode` delivery type by reading them from server-action responses. This allows the attacker to establish MFA-authenticated sessions, which may include the takeover of administrator accounts.

ZITADEL هي منصة مفتوحة المصدر لإدارة الهوية. بدءًا من الإصدار 2.31.0 وحتى الإصدارات السابقة للإصدارين 3.4.7 و4.11.0، تُعتبر رموز الوصول OIDC غير الشفافة بتنسيق v2 والمقتطعة إلى 80 حرفًا صالحة. يستخدم ZITADEL تشفير AES المتماثل لرموز الوصول غير الشفافة، وتتضمن الحمولة النصية العادية معرّف الرمز ومعرّف المستخدم. تحدد رموز الإصدار 2 معرّف الرمز على النحو التالي: `v2 <oidc session id>-at <access token id>`. وعندما يتم اقتطاع الرموز، يكون `user id` غائبًا في النص العادي. لا تزال الخلفية تقبل هذه الرموز المقتطعة لأنها تعتمد على بيانات الجلسة الموجودة في قاعدة البيانات لتعريف المستخدم في رموز الإصدار 2. يعمل التصحيح في الإصدارين 4.11.0 و3.4.7 على حل المشكلة من خلال التحقق من `user id` الخاص بالرمز مقارنةً ببيانات الجلسة الموجودة في قاعدة البيانات.