注目★★★★★CISA KEV
IBM Langflow に認証不要の RCE、v1.0〜1.10 で悪用可能
30秒で把握
- 1IBM Langflow OSS v1.0〜1.10 に認証不要・遠隔コード実行可能な脆弱性・CVSS 9.8 (Critical)
- 2auto_login で SUPERUSER トークン取得・validate/code で exec() 実行チェーン・デフォルト設定で即悪用可能
- 3CISA 既知悪用カタログ登録・8 月 7 日までのパッチ適用が米国連邦機関に義務・対象バージョン利用チームは本日内にバージョン確認と更新実施を
要約
IBM Langflow OSS v1.0.0〜1.10.0 に認証回避と任意コード実行の連鎖攻撃で遠隔コード実行 (RCE) が可能な脆弱性が発見された。/api/v1/auto_login エンドポイントで認証なしに SUPERUSER トークンが発行され、/api/v1/validate/code で exec() 経由の任意コード実行に繋ぐことで、デフォルト構成のデプロイメント全体が危険にさらされる。CVSS 3.1 で 9.8 (Critical) と評価され、ネットワークアクセス可能な状態では即座に悪用される恐れがある。CISA の既知悪用脆弱性カタログに登録され、米国連邦機関は 8 月 7 日までのパッチ適用が義務化された。
あなたへの影響
この記事が日本のエンジニアに与える影響と、今日取るべきアクションは、Personal会員向けに掲載しています。
クレカ不要・いつでも解約