🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.12.3까지의 버전에는 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 인증된 공격자가 시스템에서 임의의 요청을 보낼 수 있으며, 이를 통해 내부 네트워크 정찰이나 추가 공격이 가능해질 수 있습니다.
💡 쉬운 설명
Langflow라는 AI 워크플로우 도구에 있는 결함으로, 로그인한 사용자가 서버를 대신해 외부나 내부 주소로 요청을 보낼 수 있습니다. 이를 악용하면 내부 네트워크 구조를 몰래 조사하는 데 쓰일 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.12.3 is vulnerable to server-side request forgery (SSRF). This may allow an authenticated attacker to send unauthorized requests from the system, potentially leading to network enumeration or facilitating other attacks.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.12.3
⚔️ 공격 벡터
인증된 사용자가 Langflow의 요청 처리 기능에 내부 주소를 넣어 서버가 대신 요청을 보내도록 조작
🛡️ 대응 방법
IBM 공지에 따라 Langflow OSS를 1.12.3 초과 패치 버전으로 업그레이드하고, 신뢰할 수 없는 사용자의 접근을 제한
🔧 검증 코드
출력된 Version 값이 1.0.0 이상 1.12.3 이하이면 취약하며, 1.12.3을 초과하면 패치된 버전입니다. 명령어 결과가 없으면 설치되어 있지 않은 것입니다.
pip show langflow 2>/dev/null | grep -i version