Злоумышленники используют критическую уязвимость безопасности в Langflow, согласно предупреждению от Previdian. Langflow — это платформа с открытым исходным кодом, позволяющая разработчикам создавать приложения искусственного интеллекта (ИИ) и агентские рабочие процессы. В феврале 2025 года DataStax, материнская компания Langflow, была приобретена IBM.
Рассматриваемая уязвимость — CVE-2026-105740 (оценка CVSS: 9.9) — представляет собой возможность удаленного выполнения кода при наличии аутентификации, затрагивающую версии до 1.9.0. «Любой аутентифицированный пользователь Langflow может добиться удаленного выполнения кода (RCE) на сервере, добавив сервер MCP с транспортом ‘stdio’», — говорится в консультации, опубликованной в прошлом месяце. «Поле команды, предоставленное пользователем, передается напрямую в bash -c “exec {command}” без какой-либо проверки, разрешенных списков или песочницы. Команда выполняется немедленно при получении списка серверов. Кроме того, поле env позволяет внедрять произвольные переменные среды (например, LD_PRELOAD, переопределение PATH)».
Суть уязвимости заключается в том, что Langflow принимает команду, предоставленную пользователем, не ограничивая ее одобренными исполняемыми файлами. Это, в свою очередь, может привести к выполнению команд оболочки. В гипотетическом сценарии атаки злоумышленник может использовать эту уязвимость следующим образом: «Любой аутентифицированный пользователь Langflow (включая неадминистративные учетные записи) может выполнять произвольные команды ОС на сервере с привилегиями процесса Langflow», — предупредили в Langflow. Успешная эксплуатация может привести к полному компрометированию сервера, внедрению переменных среды, облегчению бокового перемещения и развертыванию постоянного бэкдора, поскольку вредоносная конфигурация сервера MCP сохраняется и повторно выполняется каждый раз при загрузке списка серверов. «В отличие от кода пользовательских компонентов, который виден в редакторе потоков, конфигурации серверов MCP хранятся в настройках проекта и не видны при обычном просмотре потоков», — заявили в Langflow.
Данные Previdian показывают, что с 19 сентября 2026 года против их датчиков-ловушек было зафиксировано 1423 попытки эксплуатации с 27 уникальных IP-адресов злоумышленников, расположенных в Бельгии, Китае, Германии, Гонконге, Японии, Нигерии, на Филиппинах, в России, на Сейшельских островах, в Сингапуре, Южной Корее, Тайване, Танзании, США и Вьетнаме. Усилия по эксплуатации активизировались с 11 октября 2026 года, когда было зарегистрировано 333 попытки. На момент написания статьи 15 октября 2026 года было зафиксировано 66 попыток.
«Мы изучили, как злоумышленники проходят аутентификацию, поскольку эта уязвимость требует аутентификации», — сообщил The Hacker News Райан Дьюхерст, основатель и генеральный директор Previdian. «В одной из наблюдавшихся последовательностей злоумышленники проверяли версию Langflow, пытались использовать /api/v1/auto_login (который вернул 403, поскольку он был отключен в нашей ловушке), а затем успешно аутентифицировались, используя распространенное имя пользователя и пароль. Они немедленно использовали полученный токен bearer для доступа к уязвимой конечной точке конфигурации сервера MCP».
Среди захваченных полезных нагрузок: значительная часть активности исходит с IP-адреса «192.255.229[.]92», который, как наблюдалось, пытался извлечь переменные среды. Данные GreyNoise показывают, что этот IP-адрес участвовал в общих атаках методом перебора, а также в эксплуатации других уязвимостей в Flowise (CVE-2026-69255) и Langflow (CVE-2026-55255, CVE-2026-9198 и CVE-2026-0768).
«Мы рекомендуем обновить Langflow до исправленной версии, отключить автологин, использовать надежные и уникальные пароли, а также проверять журналы аутентификации и запросы к /api/v2/mcp/servers/ на предмет подозрительной активности», — сказал Дьюхерст. В прошлом месяце Langflow также устранил другую критическую уязвимость (CVE-2026-105697, оценка CVSS: 9.9), которая также могла привести к внедрению команд операционной системы через конфигурацию сервера MCP stdio. Если немедленное исправление невозможно, рекомендуется установить LANGFLOW_AUTO_LOGIN=false, избегать прямого доступа Langflow к недоверенным сетям и предоставлять учетные записи Langflow только доверенным пользователям.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
