Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en ZITADEL (CVE-2025-64717)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-287 Autenticación incorrecta
Fecha de publicación:
13/11/2025
Última modificación:
19/10/2026

Descripción

ZITADEL es una plataforma de gestión de identidad de código abierto. A partir de la versión 2.50.0 y antes de las versiones 2.71.19, 3.4.4 y 4.6.6, una vulnerabilidad en el proceso de federación de ZITADEL permitía el autoenlace de usuarios de proveedores de identidad externos a usuarios existentes en ZITADEL incluso si el IdP correspondiente no estaba activo o si la organización no permitía la autenticación federada. Esta vulnerabilidad se deriva de la falla de la plataforma al verificar o aplicar correctamente las configuraciones de seguridad específicas de una organización durante el flujo de autenticación. Un Administrador de Organización puede deshabilitar explícitamente un IdP o denegar la federación, pero esta configuración no se respetaba durante el proceso de autoenlace. Esto permitía a un atacante no autenticado iniciar una sesión utilizando un IdP que debería haber estado deshabilitado para esa organización. La plataforma validaría incorrectamente el inicio de sesión y, basándose en un criterio de coincidencia, vincularía la identidad externa del atacante a una cuenta de usuario interna existente. Esto puede resultar en una Toma de Control de Cuenta completa, eludiendo los controles de seguridad obligatorios de la organización. Tenga en cuenta que las cuentas con MFA habilitado no pueden ser tomadas por este ataque. También tenga en cuenta que solo los IdP creados a nivel de instancia permitirían que esto funcionara. Los IdP registrados en otra organización siempre serían denegados en el proceso de (auto)enlace. Las versiones 4.6.6, 3.4.4 y 2.71.19 resuelven el problema al validar correctamente la política de inicio de sesión de la organización antes de autoenlazar a un usuario externo. No hay soluciones alternativas conocidas disponibles aparte de la actualización.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.40 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0
7.40
Gravedad 4.0
ALTA
Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:zitadel:zitadel:*:*:*:*:*:*:*:* 2.50.0 (incluyendo) 2.71.19 (excluyendo)
cpe:2.3:a:zitadel:zitadel:*:*:*:*:*:*:*:* 3.0.0 (incluyendo) 3.4.4 (excluyendo)
cpe:2.3:a:zitadel:zitadel:*:*:*:*:*:*:*:* 4.0.0 (incluyendo) 4.6.6 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información