🇰🇷 한글 설명
ZITADEL Login V2에서 비밀번호 검증 후 생성된 브라우저 세션을 재사용할 때, 등록된 TOTP, OTP 또는 U2F와 같은 2차 인증(MFA) 단계를 건너뛸 수 있는 취약점입니다. MFA 단계가 강제 설정되지 않은 경우, 사용자가 의도적으로 MFA를 중단하고 다시 로그인하면 추가 인증 없이 OIDC 또는 SAML 콜백을 완료할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 비밀번호를 입력한 뒤 2차 인증(OTP 등)을 거쳐야 하는데, 이 단계를 중간에 취소하고 다시 시도하면 인증을 건너뛰고 로그인이 되는 문제입니다. 보안을 위해 설정한 추가 인증 절차가 제대로 작동하지 않아 계정이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
ZITADEL is an open source identity management platform. From 4.0.0 until 4.16.1, ZITADEL Login V2 creates a browser session after password verification and can reuse that session for a later authentication request without verifying a user's enrolled TOTP, OTP, or U2F second factor. When the MFA step is abandoned and login starts again, session-validity checks require MFA only when the organization enables Force MFA or Force MFA for local users only, so a voluntarily enrolled factor can be skipped while completing an OIDC or SAML callback for a customer application. Login V1, the ZITADEL Console, Management and Admin APIs, and user self-management are not affected. This issue is fixed in version 4.16.1.
📍 영향받는 시스템
ZITADEL 4.0.0 ~ 4.16.1 (Login V2 사용 시)
⚔️ 공격 벡터
MFA 단계에서 인증을 의도적으로 중단한 후 세션을 재사용하여 2차 인증을 우회하는 방식
🛡️ 대응 방법
ZITADEL을 최신 버전인 4.16.1 이상으로 업데이트하십시오.
🔧 검증 코드
ZITADEL의 현재 설치 버전을 확인하여 4.16.1 미만인지 확인하십시오.
curl -s http://<ZITADEL_HOST>/healthz | grep -i 'version' || echo 'Check ZITADEL version via CLI or API'