PT-2024-23115 · Zitadel · Zitadel
Schettn
·
Publicado
2024-03-27
·
Atualizado
2025-01-08
·
CVE-2024-29892
CVSS v4.0
8.3
Alta
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do ZITADEL anteriores à 2.42.17
Versões do ZITADEL da 2.42.17 à 2.48.3
Descrição
O problema decorre do uso de modelos Go para renderizar a interface de usuário de login no ZITADEL, permitindo que determinadas ações definam reivindicações reservadas em certas circunstâncias. Por exemplo, seria possível definir a reivindicação
urn:zitadel:iam:user:resourceowner:name. Foi introduzida uma proteção para impedir que ações alterem reivindicações que comecem com urn:zitadel:iam.Recomendações
Para versões anteriores à 2.42.17, atualize para a versão 2.42.17 ou posterior.
Para as versões 2.42.17 a 2.43.10, atualize para a versão 2.43.11 ou posterior.
Para as versões 2.43.11 a 2.44.6, atualize para a versão 2.44.7 ou posterior.
Para as versões 2.44.7 a 2.45.4, atualize para a versão 2.45.5 ou posterior.
Para as versões 2.45.5 a 2.46.4, atualize para a versão 2.46.5 ou posterior.
Para as versões 2.46.5 a 2.47.7, atualize para a versão 2.47.8 ou posterior.
Para as versões 2.47.8 a 2.48.2, atualize para a versão 2.48.3 ou posterior.
Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zitadel