CVE-2025-67494
— 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：ZITADEL 对 `x-zitadel-forward-host` 标头处理不当。
💥 **后果**：导致 **未经验证的服务端请求伪造 (SSRF)**。攻击者可利用此漏洞绕过安全限制，发起恶意请求。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-918 (服务端请求伪造)。
🐛 **缺陷点**：代码逻辑未正确验证或过滤 `x-zitadel-forward-host` 请求头，导致信任被滥用。
Q3影响谁？（版本/组件）
🎯 **受影响产品**：ZITADEL (现代开源身份认证服务)。
📅 **受影响版本**：**4.7.0 及之前版本**。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- 🌐 **内网探测**：扫描内部网络服务。
- 📦 **数据窃取**：访问内部敏感资源。
- ⚠️ **权限提升**：结合其他漏洞可能获取更高权限。
- 📊 **数据影响**：CVSS 显示 **机密性高 (C:H)**，完整性低 (I:L)。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。
- 🔑 **认证**：无需认证 (PR:N)。
- 🖱️ **用户交互**：无需用户交互 (UI:N)。
- 🌍 **攻击向量**：网络远程 (AV:N)。
- 🎯 **复杂度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC 状态**：有现成 PoC。
🔗 **链接**：[GitHub PoC](https://github.com/Chocapikk/CVE-2025-67494)。
🔥 **在野利用**：数据未明确提及，但 PoC 已公开，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 ZITADEL 版本是否 **≤ 4.7.0**。
2. 扫描 HTTP 请求中是否包含 `x-zitadel-forward-host` 头。
3. 使用漏洞扫描工具检测 SSRF 特征。
4. 参考 [官方安全公告](https://github.com/zitadel/zitadel/security/advisories/GHSA-7wfc-4796-gmg5)。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已修复。
📝 **补丁提交**：[Commit 4c879b4](https://github.com/zitadel/zitadel/commit/4c879b47334e01d4fcab921ac1b44eda39acdb96)。
✅ **建议**：立即升级至 **4.7.1 或更高版本**。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
- 🚫 **禁用/过滤**：在反向代理或 WAF 中拦截或移除 `x-zitadel-forward-host` 头。
- 🔒 **网络隔离**：限制 ZITADEL 对内部网络的访问权限。
- 🛑 **暂停服务**：若无法立即升级，考虑暂时下线受影响实例。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
- 📉 **CVSS 评分**：高 (基于 C:H, S:C)。
- 🚀 **行动**：立即升级版本或实施网络层缓解措施。此漏洞无需认证即可利用，风险极大。