Güvenlik araştırmacıları, Zitadel’in yönetim arayüzünde, kuruluşları devralma risklerini ve yetkisiz yapılandırma değişikliklerini hesaba katan kritik güvensiz doğrudan nesne referansı (IDOR) güvenlik açıklarını açıkladılar.
CVSS V3.1 skoru 9.1/10 ile CVE-2025-27507 olarak izlenen bu kusurlar, hassas LDAP yapılandırmalarını ve diğer kritik örnek ayarlarını manipüle etmek için uygun izinler olmadan kimliği doğrulanmış kullanıcılara izin verir.
Güvenlik Açığı Genel Bakış
Güvenlik açıkları, sistem yöneticilerinin örnek düzeyinde yapılandırmaları yönetmesi için tasarlanmış bir bileşen olan Zitadel’in yönetici API’sinde bulunur.
Araştırmacılar, uygun yetkilendirme kontrollerinden yoksun 12 HTTP uç noktasını tespit ettiler ve uygulama dışı kullanıcıların ayrıcalıklı işlevlere erişmesini sağladılar.
En şiddetli kusurlar, saldırganların olabileceği LDAP yapılandırma uç noktalarını (/idps/ldap ve/idps/ldap/{id}) içerir:
- LDAP kimlik doğrulama trafiğini kötü amaçlı sunuculara yönlendirerek, kimlik bilgisi müdahalesini ve hesap kaçırma
- Organizasyonel dizinleri tehlikeye atarak API yanıtları aracılığıyla LDAP sunucusunun kimlik bilgilerini çıkarın
LDAP olmayan yapılandırmalar, dil ayarlarını (/text/mesaj/Passseseys_Registration/{dil}), markalaşma şablonları (/politikalar/etiket/logo) ve güvenlik politikaları (/politika/label/_activate) yöneten uç noktalar yoluyla kısmen savunmasız kalır.
Saldırganlar, kimlik avı arayüzlerini dağıtmak veya güvenlik kontrollerini devre dışı bırakmak için bunları kötüye kullanabilir.
Sömürülebilirlik ve sonuçlar, dağıtım yapılandırmalarına dayanarak önemli ölçüde farklılık gösterir:
- LDAP bağımlı kuruluşlar: Tam hesap devralma, kimlik doğrulama isteklerini yeniden yönlendirerek elde edilebilir. Başarılı bir saldırı, LDAP bağlantılı tüm kullanıcı hesaplarını ve arka uç dizin şifrelerini ortaya çıkarır.
- LDAP dışı kullanıcılar: Kimlik bilgisi yeniden yönlendirmeye karşı bağışık olsa da, saldırganlar hala örnek markalaşma, yerelleştirme ve güvenlik politikalarını değiştirebilir – potansiyel olarak sosyal mühendislik kampanyalarını veya hizmet kesintilerini mümkün kılar.
Zitadel’in güvenlik ekibi, konfigürasyon kurcalamasının kümülatif riskleri nedeniyle LDAP kullanımından bağımsız olarak tüm örneklerin yama gerektirdiğini vurgulamaktadır.
Azaltma ve yama dağıtım
Zitadel, etkilenen uç noktalarda rol tabanlı erişim kontrollerini (RBAC) uygulamak için desteklenen birden fazla sürümde güncellemeler yayınladı:
- ana hat dağıtımları için v2.71.0+
- Sürümler için geri taşıma düzeltmeleri 2.70.1, 2.69.4, 2.68.4, 2.67.8, 2.66.11, 2.65.6, 2.64.5 ve 2.63.8
Kuruluşlar hemen yükseltmeli ve yetkisiz LDAP/Config değişiklikleri için günlükleri denetlemelidir, çünkü istismar girişimleri minimum adli izler bırakır.
API güdümlü mimarilerde idor kusurları yaygın olarak kaldıkça, bu olay, özellikle kritik kimlik doğrulama akışlarını ele alan kimlik yönetimi sistemlerinde sürekli yetkilendirme testine duyulan ihtiyacın altını çizmektedir.
Collect Threat Intelligence on the Latest Malware and Phishing Attacks with ANY.RUN TI Lookup -> Try for free