🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.10.0 버전(1.9.2 미만 포함)의 ToolGuard 통합 구성 요소에서 코드 주입 취약점이 발견되었습니다. 공격자는 검증되지 않은 동적 CodeInput 필드에 악성 파이썬 코드를 삽입하여 서버 측에서 임의의 코드를 실행할 수 있습니다. 또한 MCP 도구를 통한 교차 테넌트 조작을 통해 다른 사용자의 플로우에 악성 코드를 주입하는 방식으로 공격이 확대될 수 있습니다.
💡 쉬운 설명
프로그램의 보안 검사를 우회하여 해커가 서버에 몰래 악성 명령어를 실행할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커는 권한이 있는 사용자인 것처럼 속여 시스템 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.10.0 Langflow versions up to 1.9.2 (commit 94981c443d4918517b9e8163d70fc598dc33a32d) contain a code injection vulnerability in the Policies component's ToolGuard integration that bypasses the allow_custom_components=false security control. The vulnerability exists because the validation mechanism only checks the main component source code in node_template["code"]["value"] but fails to validate dynamic CodeInput fields that store generated ToolGuard Python files. Attackers can embed malicious Python code in these unvalidated dynamic fields, which are persisted in Flow.data and later executed server-side when a guarded tool is invoked through the ToolGuard runtime. This allows authenticated users with flow creation privileges to achieve arbitrary Python code execution on the backend despite custom component restrictions. The vulnerability can be escalated through cross-tenant flow manipulation via the agentic MCP update_flow_component_field tool, which accepts attacker-controlled user_id parameters, enabling attackers to inject malicious code into victim users' flows. When combined with publicly accessible flows and specific misconfigurations (AUTO_LOGIN=true, NEW_USER_IS_ACTIVE=true), the attack can be conducted with reduced authentication requirements.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.10.0 (1.9.2 미만 버전 포함)
⚔️ 공격 벡터
검증되지 않은 동적 CodeInput 필드에 악성 파이썬 코드를 삽입하고 MCP 도구를 통해 타 사용자의 플로우에 주입
🛡️ 대응 방법
Langflow를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하고, AUTO_LOGIN 및 NEW_USER_IS_ACTIVE 설정을 비활성화하십시오.
🔧 검증 코드
출력된 버전이 1.9.2 미만인지 확인하여 취약 여부를 판단합니다.
pip show langflow | grep Version