🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.11.5 버전에서 사용자 비활성화 후에도 API 키의 세션 만료가 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증된 원격 공격자가 흐름(flows)을 실행하고 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
사용자 계정을 정지시켜도 기존에 발급된 비밀번호(API 키)가 계속 작동하여 발생하는 문제입니다. 해커가 이 키를 이용해 시스템에 몰래 접속하여 중요한 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.11.5 could allow a remote authenticated attacker to execute flows and obtain sensitive information due to insufficient session expiration of API keys after user deactivation.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.11.5
⚔️ 공격 벡터
비활성화된 사용자의 유효한 API 키를 이용한 원격 인증 공격
🛡️ 대응 방법
Langflow를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자 비활성화 시 API 키를 즉시 무효화하도록 설정하십시오.
🔧 검증 코드
출력된 버전이 1.11.5 이하이면 해당 취약점에 노출된 상태입니다.
pip show langflow | grep Version