JVNDB-2026-006364

ZITADELにおけるサーバサイドのリクエストフォージェリの脆弱性

ZITADELはオープンソースのアイデンティティ管理プラットフォームです。Zitadel Action V2（2.59.0で早期プレビュー導入、3.0.0でベータ、4.0.0でGA）は、ZitadelのAPIリクエストに対して開発者がアクションを実行し、トークン発行などのフローをカスタマイズできるWebhookベースの手法です。ZitadelのActionターゲットURLはローカルホストを指すことがあり、これにより攻撃者が内部ネットワーク情報を収集したり、内部サービスに接続したりする可能性があります。URLがローカルホストやIPアドレスを指す場合、攻撃者は内部ネットワーク構造や内部ホスト上の公開サービスなどの情報を収集する可能性があります。これはサーバーサイドリクエストフォージェリ（SSRF）と呼ばれます。Zitadel Actionsは特定のスキーマに従った応答を期待しているため、脅威ベクターは軽減されています。バージョン4.11.1のパッチは、ターゲットURLを拒否リストと照合してこの問題を解決しています。デフォルトではlocalhostおよびループバックIPが拒否されます。この修正はv4.x系でのみリリースされています。v2.xおよびv3.xのプレビューやベータ段階の機能のため、その後の変更や深刻度・実際の脅威ベクターを考慮すると対応バージョンへのバックポートは困難でした。v4.xへのアップグレードが不可能な場合は回避策セクションを確認してください。アップグレードが不可能な場合は、自身のインフラ内でネットワークポリシーやファイアウォールルールを設定し、アクションが意図しないエンドポイントを利用するのを防いでください。これはZitadelの機能外であることに注意が必要です。

ZITADEL

• ZITADEL 2.59.0 から 3.4.6
• ZITADEL 4.0.0 以上 4.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Potential SSRF via Actions  Advisory  zitadel/zitadel  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-27945

1. National Vulnerability Database (NVD) : CVE-2026-27945
2. 関連文書 : Release v4.11.0  zitadel/zitadel  GitHub
3. 関連文書 : Release v3.4.7  zitadel/zitadel  GitHub

• [2026年03月09日]
    掲載