🇰🇷 한글 설명
Langflow 1.10.3 미만 버전에서 MCP stdio 전송 방식이 사용자 입력 명령어를 검증 없이 실행하여 임의의 OS 명령어가 실행될 수 있는 취약점이 발견되었습니다. 공격자가 MCP 서버 설정이나 흐름(flow)을 조작할 경우, Langflow 프로세스 권한으로 시스템 명령어를 실행하거나 리버스 쉘을 획득할 수 있습니다. 특히 기본 설정인 자동 로그인 기능이 활성화된 경우 인증 없이도 공격이 가능합니다.
💡 쉬운 설명
AI 도구인 Langflow의 설정 오류로 인해, 해커가 시스템에 몰래 명령어를 입력하여 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 이 취약점을 이용하면 파일 삭제나 시스템 탈취와 같은 위험한 행동이 가능합니다.
🇺🇸 원문 (English)
Langflow is a tool for building and deploying AI-powered agents and workflows. Before Langflow 1.10.3, the MCP stdio transport launched whatever command / args a user put in an MCP server configuration, with no allowlist and (before 1.10.3) wrapped in bash -c "exec {command} ...". Any user able to reach the MCP server settings ("Settings → MCP Servers → Add MCP Server", POST/PATCH /api/v2/mcp/servers/{server_name}) or to build a flow with the MCP Tools component could add a "server" whose command is an arbitrary OS command (touch, rm -rf, a reverse shell, ...). The command runs on the Langflow host as the Langflow process user as soon as Langflow tries to connect to the server (listing servers, loading tools, running the flow) — even when the UI then reports that the stdio server failed to start. With the default LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login hands out a token without credentials, so on an exposed instance running the default configuration this is reachable without an account. AUTO_LOGIN is documented as a development-only setting; with it disabled, any authenticated (non-admin) user can exploit it. This issue is fixed in Langflow 1.10.3, langflow-base 0.10.3, and lfx 1.10.3.
📍 영향받는 시스템
Langflow 1.10.3 미만, langflow-base 0.10.3 미만, lfx 1.10.3 미만
⚔️ 공격 벡터
MCP 서버 설정 API(POST/PATCH) 또는 MCP Tools 컴포넌트를 통한 임의 OS 명령어 주입
🛡️ 대응 방법
Langflow를 최신 버전(1.10.3 이상)으로 업데이트하고, 운영 환경에서는 LANGFLOW_AUTO_LOGIN 설정을 반드시 비활성화하십시오.
🔧 검증 코드
출력된 버전이 1.10.3 미만이면 취약한 상태입니다.
pip show langflow | grep Version