Iam-Marco

Existe uma falha de bypass de autenticação na UI do Login V2 que permite que atacantes não autenticados assumam o controle de contas de usuários que ainda não configuraram nenhum método de autenticação. Ao computar um cookie `verificationCheck` válido usando o ID do usuário e a impressão digital do navegador, um atacante pode definir uma senha, registrar uma passkey ou vincular um provedor de identidade para a conta alvo.

O Login V2 contém um problema de autorização ausente que permite que invasores aprovem autorizações de dispositivo OAuth 2.0 usando a sessão existente de uma vítima sem o seu consentimento. Ao enviar a um usuário conectado um link contendo o código de usuário do invasor, o invasor pode obter os tokens da vítima e ignorar as configurações de acesso ao projeto por meio da API de autorização de dispositivo OIDC.

A interface de usuário do Login V1 hospedada contém uma falha na qual o manipulador de alteração de nome de usuário processa solicitações para a conta associada a um fluxo de login antes de verificar qualquer fator de autenticação. Isso permite que invasores não autenticados forneçam o nome de login de uma vítima e enviem um novo nome de usuário para renomear qualquer usuário humano ativo, incluindo administradores, resultando no bloqueio do acesso desses usuários às suas contas.

Existe uma falha de bypass de autenticação no callback de intenção do provedor de identidade SAML. O sistema verifica a assinatura da asserção usando o provedor especificado na URL da requisição, mas resolve o usuário a partir da intenção de login sem verificar se eles coincidem. Isso permite que atacantes com permissões de administrador de organização registrem um provedor SAML com sua própria chave de assinatura para obter sessões autenticadas como qualquer usuário vinculado a outro provedor SAML na instância, inclusive em outras organizações.

Um problema de escalonamento de privilégios existe no processo de troca de tokens OIDC. Esta falha permite que usuários com as funções `IAM END USER IMPERSONATOR` ou `ORG END USER IMPERSONATOR` ignorem a verificação `admin.impersonation`. Consequentemente, esses usuários podem se passar por administradores, incluindo aqueles com a função `IAM OWNER`, e entrar em aplicações dependentes com funções e reivindicações administrativas.

Existe uma falha de bypass de autenticação na interface de usuário Login V1 hospedada. O problema ocorre porque o endpoint de registro para contas externas não encontradas confia em campos de identidade externa fornecidos pelo cliente sem a necessidade de um callback de Provedor de Identidade (IdP) concluído. Um invasor não autenticado pode enviar valores forjados de `IDPConfigID` e `ExternalUserID` para pré-criar uma conta vinculada à identidade de IdP externo de uma vítima. Quando a vítima posteriormente realiza um login externo legítimo, ela é autenticada na conta pré-criada.

Existe uma falha de autorização incorreta na API do User Service. O sistema verifica a permissão `user.read` em relação à organização do chamador, em vez da organização proprietária do usuário alvo. Um membro autenticado com permissões `user.read` com escopo de organização pode utilizar o endpoint 'GET /v2/users/{userId}/authentication methods' para identificar os tipos de métodos de autenticação registrados por usuários de outras organizações.

Uma falha de autorização inadequada ocorre durante a emissão de códigos de registro de passkey ou autenticação sem senha. O sistema valida a organização especificada no cabeçalho `x-zitadel-orgid`, mas não verifica a organização do usuário alvo. Isso permite que um invasor com permissão de escrita de usuário em uma organização obtenha um código de registro para um usuário pertencente a outra organização na mesma instância, permitindo que o invasor registre seu próprio autenticador e assuma o controle da conta.

Existe uma falha de bypass de autenticação no Login V2 que permite que atacantes não autenticados assumam o controle de contas. Atacantes que conheçam o nome de login de uma vítima cadastrada em OTP-Email e OTP-SMS podem obter códigos de senha de uso único (OTP) através do tipo de entrega `returnCode`, lendo-os das respostas de ação do servidor. Isso permite que o atacante estabeleça sessões autenticadas por MFA, incluindo a tomada de controle de contas de administrador.

Existe uma falha de bypass de autenticação nas interfaces de usuário (UIs) hospedadas Login V1 e Login V2. O sistema permite o registro de uma passkey ou outro autenticador durante sessões de login apenas para identificação, antes que qualquer fator primário seja verificado. Um invasor não autenticado que conheça o nome de login de uma vítima pode registrar um autenticador controlado pelo invasor para obter acesso não autorizado à conta, ignorando senhas e a autenticação de múltiplos fatores (MFA).

Existe um problema onde o servidor pode ser coagido a fazer requisições a recursos internos durante a verificação HTTP do domínio da organização. Isso ocorre porque o processo de busca de desafio utiliza a função `http.Get` padrão do Go em vez de um cliente protegido. Atacantes podem registrar domínios que redirecionam para endereços de loopback, internos ou de metadados de nuvem, permitindo a varredura de portas e o mapeamento de redes internas. Trata-se de um server-side request forgery (SSRF), que é uma falha que permite a um atacante induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Nome do Software Vulnerável e Versões Afetadas Versões do ZITADEL anteriores a 4.9.1 Versões do ZITADEL anteriores a 3.4.6 Descrição ZITADEL é uma plataforma de gerenciamento de identidade de código aberto. Existe um problema de enumeração de usuários nas interfaces de login. Um atacante não autenticado pode determinar a existência de contas de usuário válidas ao tentar diferentes nomes de usuário e IDs de usuário. A vulnerabilidade pode ser explorada por meio da iteração de nomes de usuário e `IDs de usuário`. Recomendações Atualize o ZITADEL para a versão 4.9.1 ou posterior. Atualize o ZITADEL para a versão 3.4.6 ou posterior.