Tổng quan về lỗ hổng
- CVE-2025-27507: Lỗ hổng này có điểm số CVSS v3.1 là 9.1/10, cho thấy mức độ nghiêm trọng cao.
- Các điểm cuối bị ảnh hưởng: Các lỗ hổng nằm trong API quản trị của ZITADEL, đặc biệt là 12 điểm cuối HTTP không có kiểm tra quyền truy cập đúng cách.
- Cấu hình LDAP: Các lỗi nghiêm trọng nhất liên quan đến các điểm cuối cấu hình LDAP (/idps/ldap và /idps/ldap/{id}), nơi kẻ tấn công có thể:
- Chuyển hướng lưu lượng truy cập xác thực LDAP tới các máy chủ độc hại, cho phép chặn thông tin xác thực và chiếm đoạt tài khoản.
- Trích xuất thông tin xác thực của máy chủ LDAP qua phản hồi API, làm lộ các thư mục tổ chức.
Tác động đến người dùng không dùng LDAP
- Mặc dù người dùng không dùng LDAP không gặp rủi ro về việc chuyển hướng thông tin xác thực, họ vẫn có thể thay đổi thương hiệu, địa phương hóa và chính sách bảo mật của phiên bản, có thể kích hoạt các chiến dịch kỹ thuật xã hội hoặc gián đoạn dịch vụ.
Giải pháp và Triển khai bản vá
- Các phiên bản bản vá: ZITADEL đã phát hành các bản cập nhật trên nhiều phiên bản hỗ trợ để thực thi kiểm soát truy cập theo vai trò (RBAC) trên các điểm cuối bị ảnh hưởng:
- v2.71.0+ cho các triển khai chính.
- Các bản sửa lỗi lùi cho các phiên bản 2.70.1, 2.69.4, 2.68.4, 2.67.8, 2.66.11, 2.65.6, 2.64.5, và 2.63.8.
- Khuyến nghị nâng cấp: Các tổ chức cần nâng cấp ngay lập tức và kiểm tra nhật ký để tìm các thay đổi cấu hình LDAP/không được ủy quyền, vì các nỗ lực khai thác để lại dấu vết pháp y tối thiểu.
Kết luận
Các lỗ hổng IDOR trong API quản trị của ZITADEL gây ra những rủi ro đáng kể, đặc biệt là đối với người dùng sử dụng LDAP để xác thực. Tất cả người dùng cần nâng cấp lên các phiên bản đã được vá để giảm thiểu những rủi ro này và bảo vệ thông tin nhạy cảm.
