Langflow OSSにコード実行の脆弱性、1.12.4以前が対象
IBM Langflow OSSの1.0.0から1.12.4に、ログインできるユーザーがサーバー上で任意のコードを実行できる脆弱性が見つかりました。社内でAIワークフローの開発や検証にLangflowを動かしている組織が対象です。まず版を確認し、IBMの告知にある修正版へ更新する段取りを組んでください。
急ぎ度: 早めに
CVSS v3は9.9と最高クラスで、IBMが対応情報を公開済みですが、実際の悪用が確認されたという情報は今のところ見当たらないため、至急ではなく早めの更新が妥当と見ています。
関係があるか
Langflow OSSを自社のサーバーやコンテナーで動かし、複数の開発者や利用者にログインを許している組織が影響を受けます。個人の検証用でも、ネットワークから届く場所に置いていれば対象です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| IBM Langflow OSS | 1.0.0以上、1.12.4以下 | IBMの告知ページで確認してください。版番号は、ここでは確認できていません |
確かめ方
- 1社内で動いているLangflowを洗い出します。開発部門のサーバー、コンテナー、個人の検証環境も含めます。
- 2それぞれの版を確認し、1.0.0から1.12.4に入っていれば対象です。pipで入れた環境なら、下のコマンドで版を確認できます。
- 3コンテナーで動かしている場合は、イメージのタグから版を確認します。タグがlatestのときは、実際に動いている版を管理画面などで確かめてください。
- 4ログインできるアカウントの数と、外部から届く場所に置いていないかを合わせて確認します。
何が起きたか
IBM Langflow OSSの1.0.0から1.12.4に、サーバー上で任意のコードを実行できてしまう脆弱性があります。IBMがセキュリティ情報を公開し、CVE-2026-107329として登録されました。
原因は、コードを生成する処理の制御が不適切なことです。分類はCWE-94で、外部から渡された内容がそのままコードとして扱われる、いわゆるコードインジェクションにあたります。
CVSS v3は9.9です。ベクターではスコープが変化するとされているため、Langflow本体だけでなく、同じサーバーや接続先にまで影響が広がりうる評価です。
攻撃の流れ
-
1
アカウント入手
Langflowにログインできる低い権限のアカウントを用意します。
-
2
細工した要求
ネットワーク経由で、コード生成に関わる処理へ不正な内容を送ります。
-
3
コード実行
サーバー上で攻撃者の指定したコードが動きます。
-
4
影響の拡大
保存された情報の読み出しや改ざん、他システムへの足がかりに使われるおそれがあります。
どう悪用されるか
悪用にはLangflowへのログインが必要です。ただし、必要な権限は低いもので足ります。利用者の操作は要らず、ネットワークを経由して仕掛けられ、複雑な条件も必要ありません。
成立すると、サーバー上で任意のコードを動かされます。機密性、完全性、可用性のすべてに高い影響が出る評価で、スコープの変化もあるため、Langflowが接続している他のサービスにも被害が及ぶ可能性があります。
開発者が少人数の環境でも、アカウントが漏れたり、従業員以外にログインを許したりしていれば、条件は満たされてしまいます。
今すぐやること
-
1
対象の版を洗い出す
Langflowを動かしている環境をすべて確認し、1.0.0から1.12.4に当たるものを一覧にします。部門が独自に立てた検証環境が漏れやすいので、開発チームにも聞いてください。
pip show langflow -
2
修正版に更新する
IBMの告知ページで修正版を確認し、対象の環境から順に更新します。外部から届く環境と、ログインできる人数が多い環境を優先します。
-
3
ログインできるアカウントを見直す
使われていないアカウントを削除し、パスワードの使い回しがないかを確認します。更新までの間に悪用される範囲を狭められます。
-
4
保存された認証情報を点検する
更新が遅れた環境では、Langflowが保持しているAPIキーや接続情報を洗い出します。不審なアクセスの形跡があれば、それらの鍵を再発行してください。
すぐ更新できないとき
修正版をすぐに当てられないときは、Langflowへのアクセスを社内の限られたネットワークやVPN経由に絞り、インターネットから直接届かないようにします。あわせてログインできるアカウントを必要最小限にします。これは被害の可能性を下げる措置で、脆弱性そのものは残ります。
背景
Langflowは、AIを使った処理の流れを部品の組み合わせで作り、動かすためのツールです。言語モデルのAPI、データベース、社内の文書といった外部の資源をつなぐため、動かしているサーバーには接続用のキーや情報が集まりやすくなります。そこでコードを実行されると、被害がLangflow単体にとどまらず、つないだ先にまで及びかねません。
この種のワークフロー作成ツールは、ユーザーが書いた処理やコードを実行する機能を持っています。便利さの裏で、実行してよい範囲を誰にどこまで許すかの線引きが難しく、コードが生成される処理に問題があるとCWE-94のような脆弱性につながります。今回もその線引きが不十分だったことが原因です。
よくある質問
Q.原題に「複数の脆弱性」とありますが、ほかにも更新が必要ですか。
Q.IBM以外が配布しているLangflowも対象ですか。
まだ分かっていないこと
- 修正版の具体的な版番号は、ここでは確認できていません。IBMの告知ページを見てください。
- 実際の攻撃で悪用されたかどうかは、公表されていません。
- コード生成のどの機能が原因かは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| IBM | Langflow OSS |
1.0.0 〜 1.12.4 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM Langflow OSS 1.0.0 through 1.12.4 could allow a remote authenticated attacker to execute arbitrary code due to improper control of code generation.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web nvd.nist.gov
- web github.com