JVNDB-2026-006369

ZITADELにおける認証回避の脆弱性

ZITADELはオープンソースのアイデンティティ管理プラットフォームです。バージョン2.31.0から、3.4.7および4.11.0未満のバージョンにおいて、v2形式の不透明なOIDCアクセストークンが80文字に切り詰められても有効と見なされます。ZITADELは不透明トークンに対して対称AES暗号化を使用しています。平文ペイロードはトークンIDやユーザーIDなどの複数の識別子を連結したものです。ZITADEL内部では2つの異なるトークンペイロードバージョンが存在します。v1トークンはもはや作成されませんが、アップグレード後も既存セッションを無効化しないように検証は継続されています。平文ペイロードの形式は「token_id:user_id」です。v2トークンはさらに区別され、token_idは「v2_oidc_session_id-at_access_token_id」の形式です。v1トークンの認可およびセッションデータは単純なtoken_id値とuser_id値を使ってデータベースから取得されます。このuser_id（コードの一部ではsubjectと呼ばれています）は信頼されたユーザーIDとして使用されていました。v2トークンの認可およびセッションデータはoidc_session_idとaccess_token_idを使ってデータベースから取得され、この場合トークンのuser_idは無視されており、データベースのセッションデータから取得されます。トークンを80文字に切り詰めるとv2トークンの平文からuser_idが欠落しますが、上述の理由によりバックエンドはそれを受け入れています。この問題は悪用可能とは考えられていませんが、再現時に不自然に見える可能性があります。バージョン4.11.0および3.4.7のパッチは、トークンのuser_idとデータベースのセッションデータを照合することで問題を解決しています。既知の回避策はありません。

ZITADEL

• ZITADEL 2.31.0 から 2.71.19
• ZITADEL 3.0.0 以上 3.4.7 未満
• ZITADEL 4.0.0 以上 4.11.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Truncated opaque tokens are still valid  Advisory  zitadel/zitadel  GitHub

1. 認証回避の脆弱性(CWE-302) [その他]

1. CVE-2026-27840

1. National Vulnerability Database (NVD) : CVE-2026-27840
2. 関連文書 : Release v4.11.0  zitadel/zitadel  GitHub
3. 関連文書 : Release v3.4.7  zitadel/zitadel  GitHub

• [2026年03月09日]
    掲載