🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.9.3 버전에서 발생하는 취약점으로, 공격자가 프로세스의 모든 비밀 정보를 읽고 데이터베이스 내의 흐름, 대화, 파일 등을 수정할 수 있습니다. 또한 내부 서비스 연결, 클라우드 메타데이터 탈취, 타 테넌트로의 측면 이동 및 지속적인 코드 실행 권한 획득이 가능합니다.
💡 쉬운 설명
해커가 Langflow 시스템의 모든 비밀번호와 데이터를 마음대로 보고 고칠 수 있는 매우 위험한 보안 구멍입니다. 심지어 해커가 몰래 심어놓은 코드가 시스템이 작동할 때마다 자동으로 실행될 수도 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.9.3 allows an attacker to read every secret available to the Langflow process, read and modify every flow, conversation, message, file upload, and saved component in the Langflow database, can connect to internal services, abuse cloud metadata endpoints, laterally move to other tenants on the same Langflow instance, and Establish persistence by modifying the public flow's `tool_code` so normal `/api/v1/build/...` calls by any user re-execute attacker code at each build.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.9.3
⚔️ 공격 벡터
권한 없는 공격자가 시스템 내부 데이터 및 프로세스에 접근하여 데이터 조작 및 악성 코드 주입
🛡️ 대응 방법
취약점이 해결된 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.0.0에서 1.9.3 사이라면 취약한 상태입니다.
python3 -c "import langflow; print(langflow.__version__)" 2>/dev/null || echo 'Langflow not installed'