Langflow CVSS 10.0: populiarus vizualus AI įrankis vėl leidžia perimti serverį be slaptažodžio

Birželio 25 d. „Langflow“ — vienas populiariausių atvirojo kodo įrankių vizualiai kurti AI agentus ir RAG programas — vėl atsidūrė saugumo antraštėse. IBM tyrėjai paskelbė apie dvi kritines spragas, kurių pavojingesnioji įvertinta aukščiausiu įmanomu CVSS 10.0 balu ir leidžia neautentifikuotam užpuolikui paleisti bet kokį kodą tiesiai serveryje, kuriame veikia įrankis.

Kas konkrečiai atskleista

Paskelbtos dvi atskiros, bet vienodai pavojingos spragos:

• CVE-2026-10561 (CVSS 10.0) — nuotolinis kodo vykdymas (RCE) per „Python Interpreter“ komponentą. Komponentas susikuria apribotą globalių kintamųjų aplinką, bet niekada neišvalo „builtins“ — taip užpuolikui lieka prieinami import, open ir eval. Paliestos „Langflow OSS“ versijos nuo 1.0.0 iki 1.9.3.
• CVE-2026-7664 (CVSS 9.8) — autorizacijos apėjimas: pažeidžiamas API maršrutas pagal nutylėjimą pasitiki iškvietėju ir praleidžia bet kokį kredencialų patikrinimą. Paliestos versijos nuo 1.0.0 iki 1.8.4.

Abi spragos pataisytos „Langflow“ 1.9.4 versijoje, kurią jau galima parsisiųsti iš „PyPI“. Pasak IBM, aktyvaus išnaudojimo ar viešo „proof-of-concept“ būtent šioms dviem spragoms kol kas neužfiksuota — tačiau, kaip pamatysime žemiau, „Langflow“ atveju langas tarp paskelbimo ir realių atakų istoriškai būna labai trumpas.

Kodėl tai svarbu, net jei apie „Langflow“ negirdėjote

„Langflow“ — tai vizualus, „low-code“ konstruktorius, kuriame komponentus (kalbos modelius, vektorines duomenų bazes, dokumentų skaitytuvus, įrankius, savo Python kodą) sujungi pele į veikiantį AI agentą ar RAG programą be infrastruktūros kodo. Projektas gimė 2023 m., 2024 m. jį įsigijo „DataStax“, o pastaruoju metu pačią „DataStax“ planuoja perimti IBM.

Skaičiai paaiškina, kodėl spragos tokios svarbios: „Langflow“ surinkęs daugiau nei 149 tūkst. „GitHub“ žvaigždučių ir turi dešimtis tūkstančių aktyvių naudotojų kasdien. Tai būtent tas įrankis, kurį Lietuvos komandos griebia, kai reikia greitai prototipuoti AI agentą ar vidinį „chatbot“ virš įmonės dokumentų. Patogumas turi kainą: kiekvienas toks įrankis, paleistas serveryje su prieiga prie jūsų modelių raktų, duomenų bazių ir vidinio tinklo, tampa labai patrauklia atakos pradžios vieta.

Kaip veikia RCE

„Python Interpreter“ komponentas „Langflow“ kontekste skamba logiškai — visa platforma kaip tik ir leidžia įausti savo Python logiką į srautą. Problema ta, kad „sandbox“ čia tik vardinis: apribotoje aplinkoje liko neišvalyti standartiniai Python „builtins“, todėl per import ar eval galima pasiekti operacinę sistemą. Praktiškai tai reiškia visišką serverio kompromitavimą — failų skaitymą ir rašymą, komandų vykdymą, judėjimą gilyn į tinklą.

Antroji spraga (autorizacijos apėjimas) sustiprina problemą: jei jautrūs maršrutai nereikalauja kredencialų, užpuolikui nereikia nei paskyros, nei slaptažodžio. Pakanka pasiekti atvirą „Langflow“ egzempliorių internete.

Tai ne pirmas „Langflow“ smūgis — ir būtent tai turėtų neraminti

2026 m. „Langflow“ jau ne kartą tapo taikiniu. Garsiausias atvejis — CVE-2026-33017, neautentifikuotas RCE per viešą srauto kūrimo maršrutą: „Sysdig“ tyrėjai užfiksavo pirmus išnaudojimo bandymus laukinėje gamtoje per 20 valandų nuo įspėjimo paskelbimo. Buvo ir CVE-2026-21445 — autentifikacijos apėjimas, kuris taip pat sulaukė aktyvaus išnaudojimo.

Pasikartojantis šablonas aiškus: „Langflow“ egzemplioriai dažnai paliekami atviri internete, o užpuolikai juos skenuoja agresyviai. Todėl prielaida „mums dar nieko neatsitiko“ čia ypač pavojinga — istoriškai atakos prasideda dar tą pačią parą.

Ką daryti dabar

1. Atnaujinkite į 1.9.4 nedelsiant. Tai vienintelis pilnas pataisymas abiem spragoms.
2. Neeksponuokite „Langflow“ tiesiai į internetą. Jei nėra absoliučios būtinybės, laikykite jį privačiame tinkle arba už VPN.
3. Uždėkite autentifikaciją priekyje. „Reverse proxy“ su slaptažodžiu ar SSO gerokai sumažina riziką, net jei pačiame įrankyje atsiras naujų spragų.
4. Peržiūrėkite žurnalus. Ieškokite netikėtų užklausų į API ir „Python Interpreter“ komponentą, ypač jei egzempliorius kurį laiką buvo pasiekiamas viešai.
5. Apribokite teises. Paleiskite „Langflow“ su minimaliomis teisėmis ir atskirkite jį nuo jautrių paslapčių bei produkcinių duomenų bazių.

Platesnis vaizdas

Ši istorija — ne tiek apie vieną įrankį, kiek apie visą jauną AI įrankių kartą. Daugelis jų atsirado per pastaruosius dvejus metus, kai svarbiausia buvo greitis ir funkcijos, o ne grūdintas saugumas. Modeliai, leidžiantys vartotojui paduoti kodą ir jį vykdyti (exec, eval, „interpreter“ komponentai), yra galingi — ir būtent todėl pavojingi, jei „sandbox“ nepatikimas.

Lietuvos verslui išvada praktiška: AI eksperimentus daryti verta, bet kiekvieną tokį įrankį reikia traktuoti kaip pilnavertį produkcinį serverį — su atnaujinimų disciplina, prieigos kontrole ir stebėsena. „Pažaisim ir pamiršim“ atviras „Langflow“ debesyje gali tapti durimis į visą jūsų infrastruktūrą.