🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.9.1까지의 버전에서 아카이브 추출 과정 중 심볼릭 링크 검증이 부적절하게 이루어져 원격 코드 실행이 가능할 수 있습니다. 이 취약점은 CVSS 9.8점의 심각도를 가진 치명적 취약점입니다.
💡 쉬운 설명
Langflow라는 AI 워크플로우 도구에서 압축 파일을 풀 때 보안 검사가 허술해, 공격자가 악성 파일을 보내 서버를 원격으로 장악할 수 있습니다. 해당 버전을 사용 중이라면 즉시 업데이트해야 합니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.9.1 could allow remote code execution due to improper validation of symbolic links during archive extraction.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.9.1 버전
⚔️ 공격 벡터
공격자가 조작된 심볼릭 링크가 포함된 압축 파일을 업로드하여 서버 외부 경로에 파일을 쓰거나 임의 코드를 실행
🛡️ 대응 방법
IBM 공식 권고에 따라 Langflow를 1.9.1 초과의 패치된 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 Version 값이 1.0.0~1.9.1 범위에 해당하면 취약하므로 패치된 버전으로 업그레이드가 필요하고, 그 이상이면 영향받지 않습니다.
pip show langflow 2>/dev/null | grep -E 'Version'