Langflow OSSで認証後にコード実行の脆弱性、修正情報あり
IBM Langflow OSSの1.0.0から1.12.4に、ログイン済みのユーザーがサーバー上で任意のコードを実行できてしまう脆弱性が見つかりました。Langflowを社内や検証環境で動かしている組織が対象です。版を確認し、IBMの告知に沿って修正版へ更新してください。
急ぎ度: 早めに
CVSS v3が9.9と最高水準で、KEVへの掲載はなく、IBMが修正に関する告知を出しているため、実際の攻撃が広がる前に更新を進める段階と考えます。
関係があるか
Langflow OSSの1.0.0から1.12.4を動かしている組織が対象です。ユーザー登録を開放している環境や、複数人で共有している環境では、特に影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| IBM Langflow OSS | 1.0.0から1.12.4まで | IBMの告知ページで案内されています。更新先の版は告知で確認してください。 |
確かめ方
- 1社内でLangflowを動かしているサーバー、コンテナ、検証用の環境を洗い出します。個人やチームが試用で立てたものも含めます。
- 2各環境で版を確認し、1.0.0から1.12.4の範囲に入るかを見ます。コンテナの場合は、イメージのタグと実際に動いている版の両方を確認します。
- 3ログインできるアカウントの一覧を確認し、使われていないものや、持ち主が分からないものがないかを調べます。
何が起きたか
IBM Langflow OSSに、本来許可されていない操作を実行できてしまう認可の不備があります。この不備を突かれると、ログイン済みのユーザーがLangflowの動くサーバー上で任意のコードを実行できます。
分類はCWE-862で、必要な権限の確認が抜けていることを指します。IBMの告知は、複数の脆弱性をまとめた形で出ています。
筆者は、認証が前提で、KEVにも載っていない点から、今日中に止めるほどではなく、数日から1週間ほどで更新を終える優先度だと見ています。ただし、外部に公開している環境は先に手を付けるべきです。
攻撃の流れ
-
1
低権限で入る
Langflowに正規のアカウントでログインします。
-
2
認可の穴を突く
権限の確認が抜けている処理を呼び出します。
-
3
コードを実行
Langflowが動くサーバー上で、任意のコードが動きます。
-
4
被害が広がる
保存された情報の閲覧や改ざん、接続先システムへの波及が起こりえます。
どう悪用されるか
ネットワーク越しに実行でき、攻撃の難しさは低く、利用者の操作は要りません。必要なのはLangflowにログインできる低い権限のアカウントだけで、管理者権限は要りません。
CVSSの評価では、機密性・完全性・可用性がいずれも高く、影響範囲がLangflow自体を超えて広がりうる（スコープ変更あり）とされています。コードが実行されると、サーバーに保存された情報の閲覧や書き換え、サービス停止が起こりえます。Langflowが接続している外部サービスやデータベースにも、被害が及ぶ可能性があります。
今すぐやること
-
1
対象の環境と版を洗い出す
Langflowを動かしている環境をすべて挙げ、版が1.0.0から1.12.4に入るかを確認します。外部に公開しているものを先に見ます。
pip show langflow -
2
IBMの告知に沿って修正版に更新する
告知ページで更新先の版と手順を確認し、テスト環境で動作を見たうえで本番に適用します。コンテナの場合は、イメージを入れ替えて再デプロイします。
-
3
アカウントを棚卸しする
不要なアカウントを削除し、共有アカウントを減らします。ユーザー登録を誰でもできる設定になっていないかも確認します。
-
4
不審な痕跡がないか調べる
更新の前後で、見覚えのないログインや、想定外のフロー・コンポーネントの作成と変更がないかをログで確認します。痕跡があれば、Langflowに登録したAPIキーやパスワードを入れ替えます。
すぐ更新できないとき
更新まで時間がかかる場合は、LangflowをインターネットからVPNや社内ネットワークの内側に限って到達できるようにします。あわせて、ログインできるアカウントを必要な人だけに絞ります。ただし、これらは攻撃の機会を減らす暫定措置で、脆弱性そのものはなくなりません。
背景
Langflowは、LLMを使ったアプリやエージェントを、画面上でコンポーネントをつないで組み立てるツールです。コンポーネントの中にPythonのコードを書ける仕組みもあるため、もともとサーバー上でコードが動く機能が多く、誰がどの操作を許されるかの制御が安全性を左右します。
また、LLMのAPIキーや社内データベースへの接続情報が保存されやすい点も特徴です。コードを実行されると、Langflow単体の被害にとどまらず、接続先まで影響が及びかねません。2025年にも、Langflowで認証なしにコードが実行される脆弱性が公表され、実際の攻撃で悪用されたとして米CISAが注意喚起しました。今回は認証が前提になるため条件は狭まりますが、アカウントを多くの人に配っている環境では、その差は小さくなります。
よくある質問
Q.検証用に一時的に立てたLangflowも対象ですか。
Q.更新したあと、APIキーなどは入れ替える必要がありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。IBMの告知とKEVの更新で確認してください。
- どの機能やどの権限のユーザーから悪用できるのかといった技術的な詳細は、公表されていません。
- 同じ告知に載っているほかの脆弱性の内容と、IBM以外の配布形態のLangflowが対象かどうかは、分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| IBM | Langflow OSS |
1.0.0 〜 1.12.4 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Langflow OSS 1.0.0 through 1.12.4 could allow a remote authenticated attacker to execute arbitrary code due to missing authorization.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web nvd.nist.gov
- web github.com