何が起きたか
Langflowのスキーマ処理は、コンポーネント入力オプションのイントロスペクション中に信頼できないPythonを評価する。これにより、認証された攻撃者がオプションリストに悪意のある__repr__オブジェクトを仕込むことで、プラットフォームサーバー上でコードを実行できる。1.12.0で広範なセキュリティ強化リリースとともに修正された。
なぜ重要か
マルチテナントLLMアプリケーションプラットフォームでは、認証済みコード実行は、低権限ユーザーが完全なサーバー制御に昇格できることを意味する。プロンプト/パイプラインのシークレット、モデルAPIキー、ベクターデータを読み取ることができる。これは、デプロイされたLLMオーケストレーターにとって最も重要である侵害のモデルである。
攻撃経路
schema.pyの安全でないeval()シンクは、コンポーネント入力オプションリストが処理されるときにトリガーされる。__repr__が攻撃式を運ぶ巧妙に細工されたオブジェクトは、スキーマイントロスペクションが実行されるとサーバー上で評価される。認証済みだがリモートであり、共有のLangflowインスタンスに影響を与える。
影響を受けるシステム
Langflow 1.0.16から1.12.0未満、および0.0.94から1.12.0未満（schema.py）
緩和策
Langflow 1.12.0以降にアップグレードすること。1.12.xリリーストレインでは、コンポーネントコードスキャンとコネクタにおける、複数の関連するコードスキャナー、サンドボックス脱出、キャッシュデシリアライゼーション（H1-3982189）、SSRFギャップもクローズされた。