注目★★★★★CISA KEV
IBM Langflow に認証不要の RCE、v1.0〜1.10 で悪用可能
30秒で把握
- 1IBM Langflow OSS v1.0〜1.10 に認証不要・遠隔コード実行可能な脆弱性・CVSS 9.8 (Critical)
- 2auto_login で SUPERUSER トークン取得・validate/code で exec() 実行チェーン・デフォルト設定で即悪用可能
- 3CISA 既知悪用カタログ登録・8 月 7 日までのパッチ適用が米国連邦機関に義務・対象バージョン利用チームは本日内にバージョン確認と更新実施を
要約
IBM Langflow OSS v1.0.0〜1.10.0 に認証回避と任意コード実行の連鎖攻撃で遠隔コード実行 (RCE) が可能な脆弱性が発見された。/api/v1/auto_login エンドポイントで認証なしに SUPERUSER トークンが発行され、/api/v1/validate/code で exec() 経由の任意コード実行に繋ぐことで、デフォルト構成のデプロイメント全体が危険にさらされる。CVSS 3.1 で 9.8 (Critical) と評価され、ネットワークアクセス可能な状態では即座に悪用される恐れがある。CISA の既知悪用脆弱性カタログに登録され、米国連邦機関は 8 月 7 日までのパッチ適用が義務化された。
あなたへの影響
Langflow を本番環境で運用するチーム (特に LLM アプリケーション開発・デプロイメント関連) は、まず利用バージョンの確認と該当バージョン範囲の判定を本日中に実施し、パッチ (1.10.1 以降) への更新またはネットワークアクセス制限・認証層の強化を緊急実施する必要があります。
推奨：デフォルト設定のままインターネット公開している場合は即座にサービスを停止するか WAF ルール適用で /api/v1/auto_login と /api/v1/validate/code へのアクセスを遮断すべきです。