Langflow OSSに任意コード実行の脆弱性、修正版の案内あり
AIワークフロー構築ツールのLangflow OSS 1.0.0から1.12.4に、サーバー上で任意のコードを実行されてしまう脆弱性が見つかりました。社内や検証環境でLangflowを動かしている組織が対象で、IBMの案内に従って修正版へ更新してください。更新までの間は、アカウントの発行範囲とネットワークからの到達範囲を絞っておくと安心です。
急ぎ度: 早めに
CVSS v3は9.9と最高クラスで、ネットワーク越しに低い権限から悪用でき、IBMから修正の案内も出ていますが、悪用の確認は伝えられておらず、至急とまでは言えない状況です。
関係があるか
Langflow OSSを自社のサーバーやコンテナーで動かし、複数の利用者にログインアカウントを渡している組織が当てはまります。開発チームが検証用に立てたまま忘れている環境も対象です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| IBM Langflow OSS | 1.0.0以上1.12.4以下 | IBMの案内ページに記載の修正版（https://www.ibm.com/support/pages/node/7293016） |
確かめ方
- 1Langflowを動かしているサーバーやコンテナーで、導入されている版を確認します。pipで入れた場合は
pip show langflowで版が出ます。 - 2コンテナーで動かしている場合は、使っているイメージのタグから版を確認します。タグがlatestなどの場合は、コンテナー内で
pip show langflowを実行します。 - 3版が1.0.0から1.12.4の範囲なら対象です。情シスが把握していない部門の環境がないか、開発チームにも聞いておくと漏れを防げます。
何が起きたか
Langflow OSSに、サーバー上で攻撃者の望むコードを実行されてしまう脆弱性が見つかりました。
原因は、コードを評価する処理（eval/exec）に渡る入力の無害化が不十分なことです。分類はCWE-94（コードインジェクション）で、データとして受け取ったはずの文字列がプログラムとして実行されてしまいます。
CVSS v3は9.9で、深刻度はcriticalです。評価ベクターのScopeがChangedになっており、Langflow本体の外にまで影響が及ぶ想定です。機密性・完全性・可用性への影響はいずれもHighとされています。公開日は2026年10月29日です。
攻撃の流れ
-
1
アカウント入手
Langflowにログインできる一般的な権限のアカウントを手に入れます。
-
2
細工した入力
ネットワーク経由で、脆弱な処理に不正な内容を含む入力を送ります。
-
3
コードとして評価
サーバー側で、入力がデータではなくコードとして評価されます。
-
4
サーバーを掌握
Langflowが動く環境で、攻撃者が任意の処理を実行できる状態になります。
-
5
周辺へ波及
同じ環境に置かれた鍵や接続先の情報を足がかりに、ほかの資産へ広がるおそれがあります。
どう悪用されるか
悪用にはLangflowへのログインが必要ですが、求められる権限は低く、特別な高権限は要りません。ネットワーク越しに攻撃でき、複雑な条件も、利用者に何かを操作させる必要もありません。
つまり、外部公開していないから安全とは限りません。社内の一般利用者や、アカウントを持つ委託先、アカウントが漏えいした場合の第三者が、起点になり得ます。
成功すると、Langflowが動くサーバー上で任意のコードを実行されます。サーバーに保存された情報の読み取りや書き換え、サービスの停止が起こり得ます。Scopeが変わる評価のため、Langflowが接続している外部サービスやデータにも影響が及ぶ可能性があります。
今すぐやること
-
1
稼働中のLangflowを洗い出す
本番だけでなく、検証用や個人が立てた環境も含めて一覧にし、それぞれの版を確認します。
pip show langflow -
2
修正版に更新する
IBMの案内ページで修正版を確認し、対象の環境すべてを更新します。更新後は、再度版を確認して反映を確かめます。
-
3
ログインできる利用者を見直す
使っていないアカウントや共有アカウントを整理し、更新が済むまでは必要な人だけに絞ります。
-
4
環境内の鍵と接続情報を点検する
Langflowに登録しているLLMのAPIキーやデータベースの接続情報を一覧にします。不審な操作の形跡があれば、これらを優先して入れ替えます。
すぐ更新できないとき
すぐに更新できないときは、Langflowへのアクセスを社内の限られたネットワークや特定のIPアドレスに絞り、インターネットからは到達できないようにします。あわせてログインできるアカウントを最小限にし、実行ログを普段より注意して見ます。これらは悪用の機会を減らすだけで、脆弱性そのものは残ります。
背景
Langflowは、LLMを使ったアプリやエージェントの処理の流れを、画面上で部品をつないで組み立てるオープンソースのツールです。実運用では、LLMプロバイダーのAPIキーや、データベース、社内文書への接続情報を持たせて動かすことが多くなります。そのため、サーバー上でコードを動かされると、被害がLangflow単体にとどまりにくい製品です。
evalやexecのような動的なコード評価に、検証されていない入力が渡ることで起きる脆弱性は、柔軟に式やスクリプトを扱えるツールで生じやすい型です。柔軟さと引き換えに、入力がデータとしてではなくコードとして扱われる経路が生まれます。
よくある質問
Q.修正版に更新したあと、APIキーは入れ替える必要がありますか。
Q.検証用に社内だけで使っているLangflowは、後回しでよいですか。
まだ分かっていないこと
- 修正版の版番号と更新手順は、IBMの案内ページで確認してください。
- 脆弱性のある機能や処理の具体的な場所は分かっていません。案内の題名が複数の脆弱性に触れているため、ほかの脆弱性の内容も、IBMの案内で確認が必要です。
- 実際の攻撃での悪用の有無は伝えられておらず、EPSSも分かっていません。状況が変わるかもしれないので、IBMの告知とKEVの更新を見ておいてください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| IBM | Langflow OSS |
1.0.0 〜 1.12.4 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Langflow OSS 1.0.0 through 1.12.4 could allow a remote authenticated attacker to execute arbitrary code due to improper neutralization of code in eval/exec.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@us.ibm.com
- web nvd.nist.gov
- web github.com