JVNDB-2026-008455

ZITADELにおける不正な認証に関する脆弱性

ZITADELはオープンソースのアイデンティティ管理プラットフォームです。バージョン3.4.9未満および4.0.0から4.12.2までのバージョンでは、認証時に組織の強制を回避できる脆弱性が存在しました。Zitadelは認証時にスコープ（urn:zitadel:iam:org:id:{id} および urn:zitadel:iam:org:domain:primary:{domainname}）を使用して組織コンテキストの強制をアプリケーションに許可しています。強制される場合、ユーザーはサインインするために必要な組織のメンバーでなければなりません。この強制はLogin V1のOAuth2/OIDC認可リクエストには適切に適用されていましたが、デバイス認証リクエストおよびすべてのLogin V2とOIDC API V2エンドポイントには対応する制御が存在しませんでした。そのため、ユーザーは制限を回避し、他の組織のユーザーとしてサインインすることが可能でした。ただし、この強制は認証時の追加チェックを行うものであり、認可やロールの割り当てに依存するアプリケーションはこの回避による影響を受けません。この問題はバージョン3.4.9および4.12.3で修正されています。

ZITADEL

• ZITADEL 3.4.9 未満
• ZITADEL 4.0.0 以上 4.12.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing enforcement of organization scopes  Advisory  zitadel/zitadel  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-33132

1. National Vulnerability Database (NVD) : CVE-2026-33132
2. 関連文書 : Release v3.4.9  zitadel/zitadel  GitHub
3. 関連文書 : Release v4.12.3  zitadel/zitadel  GitHub
4. 関連文書 : fix: enforce organization scopes  zitadel/zitadel@d902859  GitHub

• [2026年03月25日]
    掲載