ZITADEL kwetsbaar voor Unauthenticated Full-Read SSRF via V2 Login in github.com/zitadel/zitadel

De SSRF-kwetsbaarheid in Zitadel kan aanzienlijke gevolgen hebben. Een succesvolle exploitatie stelt een aanvaller in staat om interne bronnen en services te benaderen die normaal gesproken niet toegankelijk zijn vanaf het publieke internet. Dit kan leiden tot data-exfiltratie, configuratie-wijzigingen en mogelijk zelfs tot het verkrijgen van controle over de onderliggende infrastructuur. De mogelijkheid om ongeautoriseerd volledige leesrechten te verkrijgen via de V2 login, maakt deze kwetsbaarheid bijzonder gevaarlijk, omdat het de drempel voor exploitatie verlaagt. Het is vergelijkbaar met SSRF-aanvallen die in andere Identity Providers zijn waargenomen, waarbij interne API's en databases worden blootgesteld.

Organizations utilizing Zitadel as their authentication server, particularly those with exposed instances or those running older versions (prior to 4.7.1), are at significant risk. Shared hosting environments where multiple users share a single Zitadel instance are also particularly vulnerable, as a compromise of one user's account could potentially lead to the compromise of the entire instance.

• linux / server:

journalctl -u zitadel -f | grep -i "Server-Side Request Forgery"

• generic web:

curl -I <zitadel_url>/internal_endpoint  # Check for unexpected responses

• generic web:

 grep -r "internal_url" /etc/zitadel/config.yml # Check for exposed internal URLs in config

1. 2025-12-15Disclosure

   disclosure

1. Gereserveerd2025-12-08
2. Gepubliceerd2025-12-15
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-67494 is het upgraden van Zitadel naar versie 1.80.0-v2.20.0.20251208091519-4c879b47334e of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de V2 login functionaliteit via een Web Application Firewall (WAF) of proxy. Configureer de WAF om verzoeken met ongebruikelijke of potentieel schadelijke URL's te blokkeren. Controleer de Zitadel configuratie op onnodige open poorten en diensten. Na de upgrade, bevestig de correcte werking door te proberen de V2 login te benaderen met een testaccount en te controleren of de toegang wordt geweigerd.