🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.10.0까지의 버전에서, 저장 시 암호화(encryption at rest)에 약하고 되돌릴 수 있는 키 파생 메커니즘을 사용하여 저장된 모든 자격 증명이 노출될 수 있습니다. 이 취약점은 CVSS 9.1로 심각도가 매우 높습니다.
💡 쉬운 설명
Langflow에 저장된 API 키나 비밀번호 같은 중요한 로그인 정보가 암호화되어 있지만, 암호를 푸는 방식이 취약해 누구든 복호화할 수 있습니다. 공격자가 이를 악용하면 연결된 외부 서비스까지 무단으로 접근할 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.10.0 Langflow could allow disclosure of all stored credentials due to the use of a weak and reversible key derivation mechanism for encryption at rest.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.10.0
⚔️ 공격 벡터
공격자가 암호화된 자격 증명 데이터에 접근한 뒤 약한 키 파생 방식을 역산하여 모든 저장된 자격 증명을 복호화합니다.
🛡️ 대응 방법
IBM이 제공하는 패치된 Langflow 버전으로 즉시 업그레이드하고, 노출이 의심되는 모든 API 키와 자격 증명을 교체합니다.
🔧 검증 코드
출력된 Version 값이 1.0.0 이상 1.10.0 이하이면 취약한 버전이므로 패치 버전으로 업그레이드가 필요하며, 설치되어 있지 않으면 아무 출력이 없습니다.
pip show langflow 2>/dev/null | grep -i version