CVE-2025-65925 — Fehlerhafte Zugriffskontrolle im Kontoerstellungsprozess von Zeroheight

Offenlegungsdatum: 2025-06-11
Datum der Herstellerkorrektur (laut Hersteller): 2025-06-13
Validierungsdatum des Forschers: 2025-06-26
Entdeckt von: Sneden Rebello

---

Zusammenfassung

Ein Legacy-API-Pfad zur Benutzererstellung ermöglichte die Erstellung von Konten ohne den vorgesehenen E-Mail-Verifizierungsschritt abzuschließen. Obwohl unverifizierte Konten nicht auf Produktfunktionen zugreifen konnten, verletzte dieser Bypass dennoch den vorgesehenen Verifizierungs- und Zugriffskontrollablauf und ermöglichte die Erstellung unerwünschter Konten (z. B. Spam-/Fake-Registrierungen).

Umfang: beschränkt auf nicht authentifizierte Registrierungsabläufe.
Datenoffenlegung: keine beobachtet; kein Zugriff auf vorhandene Benutzerdaten oder Sitzungen.

---

Auswirkungen (allgemein)

• Erstellung von Konten außerhalb der vorgesehenen Verifizierungskontrollen
• Potenzial für Spam-/Fake-Kontofluten und Auswirkungen auf Ressourcen/Ressourcennutzung
• Könnte in umfassenderen Bedrohungsmodellen zu Social-Engineering- oder verketteten Angriffsszenarien beitragen

MITRE-Auswirkungsklassifizierung: Denial of Service (Ressourcenerschöpfung durch unbeabsichtigte Kontoerstellung)

Geschätzter Schweregrad: Mittel (Umgehung der Authentifizierungs-/Verifizierungslogik; keine direkte Datenoffenlegung)

CVSS-v3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
CVSS-Basisscore: 6.5 (Mittel)

---

CVE-Klassifizierung (MITRE)

• Schwachstellentyp: Fehlerhafte Zugriffskontrolle
• Angriffsart: Remote
• Angriffsvektor: Netzwerk – nicht authentifizierter Zugriff auf einen Legacy-Pfad zur Benutzererstellung über HTTPS
• Betroffene Komponente: Benutzerkontoerstellungs- und Verifizierungsprozess (Legacy-Verifizierungs-Bypass-Pfad)
• Bestätigung durch den Hersteller: Ja

---

Betroffen

• Produkt: Zeroheight (SaaS-Plattform)
• Versionen: zeroheight (SaaS) – Instanzen vor 2025-06-13 (vom Hersteller freigegebener öffentlicher Versionsstring)

---

Behebung (Hersteller)

Der Hersteller hat das Problem wie folgt behoben:

1. Anforderung eines gültigen Verifizierungstokens für alle Kontoerstellungsprozesse
2. Verbesserung der Validierungsprüfungen vor der Verarbeitung neuer Kontoregistrierungen

Diese Änderungen stellen sicher, dass Konten nur nach Abschluss des vorgesehenen E-Mail-Verifizierungsprozesses erstellt werden können.
Benutzer der Plattform müssen keine Maßnahmen ergreifen, außer sicherzustellen, dass sie die aktuelle Dienstversion verwenden.

---

Zeitverlauf

Hinweis: Sowohl das interne Behebungsdatum des Herstellers (2025-06-13) als auch das Validierungsdatum des Forschers (2025-06-26) werden aus Gründen der Transparenz aufgeführt.

---

Danksagungen

• Forscher: Sneden Rebello (GitHub),(LinkedIn)
• Koordination mit dem Hersteller: Sicherheits- und Entwicklungsteams von Zeroheight

---

CVE

CVE-2025-65925 ist öffentlich auf cve.org veröffentlicht.
Dieser Sicherheitshinweis spiegelt die öffentliche Offenlegung im Zusammenhang mit dieser CVE wider.

---

Referenzen

• Dieser Sicherheitshinweis (öffentlich)
• Zusätzlicher Kontext des Herstellers wird auf dessen Wunsch privat aufbewahrt

---

Offenlegungsrichtlinie

Dies erfolgt im Rahmen der koordinierten Offenlegung von Schwachstellen. Die öffentlichen Details sind auf Wunsch des Herstellers bewusst allgemein gehalten; es sind keine internen Kennungen, Infrastrukturdetails oder Endpunktangaben enthalten. Weitere Informationen finden Sie in DISCLOSURE_POLICY.md.