Źródło: unsplash.com/photos/mT7lXZPjk7U
Atakujący wykorzystują krytyczną, nieuwierzytelnioną lukę umożliwiającą zdalne wykonanie kodu w Langflow, czyli open source'owym frameworku do budowania aplikacji opartych na sztucznej inteligencji. Celem kampanii jest między innymi kradzież danych uwierzytelniających, tokenów oraz kluczy API OpenAI i AWS. Podatność oznaczona jako CVE-2026-0768 znajduje się w mechanizmie walidacji kodu używanym przez edytor niestandardowych komponentów.
Według firmy VulnCheck luka dotyczy wersji Langflow 1.4.2 i wcześniejszych. Problem wynika z obsługi parametru code przekazywanego do punktu końcowego validate. Aplikacja nie sprawdza odpowiednio dostarczonego ciągu znaków przed użyciem go do uruchomienia kodu w języku Python. W efekcie napastnik może wykonać dowolne polecenia bez uwierzytelnienia, a przejęty proces działa z uprawnieniami roota. Taki poziom dostępu zwiększa zakres możliwych działań na zaatakowanym serwerze, w tym odczytu plików i konfiguracji.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Wartość przechowywana przez system lub aplikację poza głównym kodem programu. Często zawiera ustawienia, dane dostępowe albo klucze usług.
Kontrolowane środowisko lub urządzenie wystawione na działanie sieci, aby obserwować próby ataku i rejestrować używane przez napastników metody.
Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia.
Technika łącząca generowanie odpowiedzi przez model językowy z wyszukiwaniem informacji w zewnętrznych bazach danych.
Caitlin Condon, główna badaczka bezpieczeństwa w VulnCheck, wyjaśniła, że obserwowane żądania mają charakter rozpoznawczy. Atakujący przeszukują zmienne środowiskowe i pliki, w których mogą znajdować się poświadczenia administratora Langflow, klucze superużytkownika, sekrety AWS oraz klucze API OpenAI. Ich ujawnienie może pozwolić na wykorzystanie uprawnień przypisanych do danej instancji lub usługi. Skala konsekwencji zależy od tego, jakie uprawnienia otrzymały znalezione konta i klucze.
Langflow to oparta na Pythonie platforma low-code, która pozwala budować aplikacje AI, agentów, chatboty oraz systemy RAG za pomocą graficznego interfejsu. Użytkownik łączy w niej komponenty odpowiedzialne za modele językowe, prompty, bazy danych, interfejsy API i inne narzędzia. Taki sposób pracy upraszcza tworzenie przepływów, ale sprawia też, że konfiguracja serwera może przechowywać wiele sekretów potrzebnych do komunikacji z zewnętrznymi usługami.
CVE-2026-0768 nie jest pierwszą podatnością Langflow wykorzystywaną w tym roku. W marcu napastnicy zaczęli wykorzystywać CVE-2026-33017 mniej więcej dzień po jej ujawnieniu. Luka służyła do uruchamiania skryptów Python oraz pozyskiwania plików .ENV i baz danych. Później odnotowano ataki związane z CVE-2026-5027, pozwalającą na zapis dowolnych plików na podatnych serwerach, oraz CVE-2026-55255, która umożliwiała dostęp do przepływów AI innych użytkowników, kradzież danych i dostarczenie kolejnych elementów ataku. Wykorzystywano również CVE-2026-0770 do wykonywania poleceń z uprawnieniami roota, prób wdrażania złośliwego oprogramowania oraz pozyskiwania danych chmurowych i metadanych kontenerów. CISA ostrzegała ponadto przed aktywnym wykorzystywaniem CVE-2026-9198 po upublicznieniu kilku exploitów typu proof of concept.
Użytkownikom Langflow zalecono przejście do najnowszej dostępnej wersji 1.11.6. Według informacji przytoczonych przez BleepingComputer wydanie to uwzględnia wszystkie znane luki w narzędziu. Administratorzy powinni również sprawdzić, czy instancje Langflow są dostępne z internetu, przejrzeć logi pod kątem nietypowych żądań do endpointu validate oraz potraktować ujawnione klucze i tokeny jako przejęte. W praktyce oznacza to ich unieważnienie i wygenerowanie nowych danych dostępowych, jeśli znajdowały się na zaatakowanym serwerze.
Brak komentarzy. Bądź pierwszy!