ZITADEL: Auto-linking by email: IdP-side email verification is not checked

Beschreibung

### Zusammenfassung Ein Fehler im externen Identitätsanbieter-Handler ermöglicht die nicht autorisierte Kontoverknüpfung unter bestimmten administrativen Konfigurationen. Wenn die automatische Verknüpfung per E-Mail aktiviert ist, überprüft ZITADEL, ob die E-Mail des lokalen Benutzers verifiziert ist, überprüft jedoch nicht explizit, ob der eingehende externe Identitätsanbieter (IdP) diese E-Mail-Adresse auch vorgelagert verifiziert hat. ### Auswirkungen Wenn sich ein Benutzer über einen externen Identitätsanbieter anmeldet, kann das System ihn automatisch mit einem vorhandenen lokalen Konto verknüpfen, wenn seine E-Mail-Adressen übereinstimmen. Da das System jedoch nicht überprüft, ob der externe Anbieter das Eigentum an dieser E-Mail tatsächlich verifiziert hat, wird ein Sicherheitsrisiko eingeführt, wenn ein loser oder öffentlicher Anbieter verbunden ist. Wenn ein Administrator E-Mail-Autolinking für einen externen Identitätsanbieter ermöglicht, der es jedem ermöglicht, sich mit einer nicht verifizierten E-Mail-Adresse anzumelden, kann ein Angreifer dieses Verhalten ausnutzen. Durch die registrierung eines kontos bei diesem permissiven anbieter mit der e-mail-adresse eines opfers und die anmeldung wird das system automatisch die föderierte identität des angreifers mit dem legitimen lokalen konto des opfers verknüpfen. Dies ermöglicht es dem angreifer, sich im konto des opfers anzumelden, ohne dass eine interaktion oder bestätigung des opfers erforderlich ist. Dieses Problem stellt eine konfigurationsabhängige Anomalie statt eines unkonditionierten Angriffsvektors dar. Da das Szenario vollständig auf einer expliziten administrativen Entscheidung beruht, einem permissiven externen Verzeichnis zu vertrauen und Konten automatisch zu verlinken, basierend auf reinen E-Mail-Strings, wird das praktische Betriebsrisiko als **Mittelwert** eingestuft. ### Betroffene Versionen Systeme mit einer der folgenden Versionen sind betroffen: * **4.x:** `4.0.0` bis `4.15.2` (einschließlich RC-Versionen) * **3.x:** `3.0.0` bis `3.4.12` (einschließlich RC-Versionen) ### Patches Die Schwachstelle wurde in den neuesten Releases behoben. Der Patch behebt das Problem, indem er verlangt, dass der E-Mail-Verifizierungsstatus des externen Identitätsanbieters explizit validiert wird, bevor eine automatische Verknüpfungslogik ermöglicht wird. * **4.x**: Upgrade auf $\ge$ [4.15.3](https://github.com/zitadel/zitadel/releases/tag/v4.15.3) * **3.x**: Upgrade auf $\ge$ [4.15.3](https://github.com/zitadel/zitadel/releases/tag/v4.15.3) ### Workarounds Wenn ein sofortiges Upgrade nicht möglich ist, implementieren Sie eine der folgenden Maßnahmen: * Deaktivieren Sie die automatische Verknüpfung per E-Mail vollständig, indem Sie die Option "AUTO LINKING OPTION UNSPECIFIED" auf entsprechenden Identitätsanbietern festlegen. * Prüfen Sie externe IdP-Konfigurationen und beschränken Sie die automatische Verknüpfung von E-Mails streng auf vertrauenswürdige Unternehmensidentitätsverzeichnisse (z. B. Corporate Okta oder Azure AD), wo die E-Mail-Verifizierung streng durchgesetzt und von der Unternehmensrichtlinie verwaltet wird. ### Fragen Wenn Sie Fragen oder Kommentare zu dieser Empfehlung haben, senden Sie uns bitte eine E-Mail an [security@zitadel.com](mailto:security@zitadel.com) ### Credits Dank [Android-Login-Analysis](https://github.com/Android-Login-Analysis) und [Alejandro Yadlin](https://github.com/ayadlin) für ..

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 4.15.3.

Empfohlene Schritte

• Betroffene Systeme identifizieren: github.com/zitadel/zitadel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.