Trusted Design

解説:

1. 脆弱性の概要

Langflow（AI エージェント／ワークフロー構築プラットフォーム）に存在する CORS 誤設定に起因するアカウント乗っ取りおよびリモートコード実行（RCE）脆弱性。

Langflow ≤ 1.6.9 において：

• allow_origins='*'（全オリジン許可）
• allow_credentials=True（Cookie 送信許可）
• Refresh Token Cookie が SameSite=None
  

という組み合わせにより、攻撃者が悪意ある Web ページから被害者のブラウザを介して認証付きクロスオリジン要求を送信可能となる。 攻撃者は refresh endpoint を悪用して access_token / refresh_token を奪取し、Langflow の 認証済み API（コード実行機能を含む） にアクセスできるため、完全なシステム乗っ取り（RCE） が可能となる。

1.1 影響

• アカウント乗っ取り（Account Takeover）
• 認証済み API への不正アクセス
• Langflow の組み込みコード実行機能を悪用した RCE
• システム全体の完全な侵害が可能
• 攻撃はネットワーク越し・未認証で実行可能

1.2 深刻度

• CVSS v4.0：9.4（Critical）（VulnCheck CNA）
• CVSS v3.1：8.8（High）（NVD）
• CISA Known Exploited Vulnerabilities（KEV）登録済み（悪用確認済み）

2. 対象となる環境

2.1 影響を受ける製品バージョン

• Langflow ≤ 1.6.9 が影響
• パッチ版は存在しない（2026年5月時点）

2.2 影響を受ける設定

以下の条件が揃うと攻撃が成立：

• CORS 設定：allow_origins='*'
• Cookie 設定：allow_credentials=True
• Refresh Token Cookie：SameSite=None
• ブラウザ経由で Langflow にアクセスする運用

3. 影響を受けた時の兆候（IoC）

公開情報では 具体的な IoC は提示されていない。 事実として：

• CISA KEV に登録されており、悪用が確認されている （攻撃ログ・不審な HTTP リクエスト例などは公開されていない）

4. 推奨対策

4.1 本対策（恒久対策）

現時点（2026年5月）で 公式パッチは提供されていない。 そのため、以下の恒久対策が必要：

• CORS 設定を適切に制限する（特定オリジンのみ許可）
• allow_credentials=True を無効化
• Refresh Token Cookie を SameSite=Lax または Strict に変更
• ブラウザ経由での管理アクセスを制限（VPN / 内部ネットワーク限定）

4.2 暫定回避策（緩和策）

• ブラウザから Langflow を直接操作しない（API クライアント経由に限定）
• 管理 UI を外部公開しない（IP 制限・WAF）
• アクセストークンの有効期限を短くする
• 不審なオリジンからのアクセスを監視
  

（※上記は脆弱性の性質から導かれる一般的な緩和策）

5. その他補足

• 攻撃は ユーザー操作なし（UI:P） で成立する（CVSS v4.0 評価）
• 攻撃自動化が容易（CORS + Cookie 誤設定のため）
• トークン奪取後は完全な RCE が可能

GitHub Advisory – CVE‑2025‑34291

OBSIDIAN