Trusted Design

CVE-2026-33017 の詳細

CVEの情報

説明:
Langflow is a tool for building and deploying AI-powered agents and workflows. In versions prior to 1.9.0, the POST /api/v1/build_public_tmp/{flow_id}/flow endpoint allows building public flows without requiring authentication. When the optional data parameter is supplied, the endpoint uses attacker-controlled flow data (containing arbitrary Python code in node definitions) instead of the stored flow data from the database. This code is passed to exec() with zero sandboxing, resulting in unauthenticated remote code execution. This is distinct from CVE-2025-3248, which fixed /api/v1/validate/code by adding authentication. The build_public_tmp endpoint is designed to be unauthenticated (for public flows) but incorrectly accepts attacker-supplied flow data containing arbitrary executable code. This issue has been fixed in version 1.9.0.

CVE更新日: 2026-03-20 05:16:15.550000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.056540000

EPSS更新日: 2026-04-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-33017に関する調査結果は以下の通りです。

1. 脆弱性の概要

CVE-2026-33017は、Langflowにおける認証不要のリモートコード実行 (RCE) の脆弱性です。 攻撃者は、公開フロービルドエンドポイント（POST /api/v1/build_public_tmp/{flow_id}/flow）を介して、認証なしで任意のPythonコードを実行できます。 このエンドポイントは、本来、認証されていないユーザーが公開フローを構築できるように設計されていますが、オプションのdataパラメータが提供された場合、攻撃者が指定したフローデータ（ノード定義に任意のPythonコードを含む）を、データベースに保存されている正規のフローデータではなく使用してしまいます。 この悪意のあるコードはサンドボックスなしでPythonのexec()関数に渡され、結果として完全なシステム侵害につながります。

この脆弱性は、2025年に修正された類似の脆弱性CVE-2025-3248とは異なります。 CVE-2025-3248は/api/v1/validate/codeエンドポイントに対するもので、認証を追加することで修正されましたが、CVE-2026-33017が影響するエンドポイントは公開されている必要があるため、同じ方法で修正できませんでした。

1.1 影響

認証されていない攻撃者が、脆弱なLangflowインスタンス上で任意のコードを実行できます。 成功した悪用により、攻撃者は完全なサーバープロセス権限を取得し、任意のコマンド実行、ファイルへの読み書き、環境変数（AWSキー、APIトークン、データベース資格情報など）の漏洩、永続的なリバースシェルの確立、内部データベースやクラウドメタデータサービスへの横移動、およびLangflowが本番AIパイプラインに接続されている場合は、ダウンストリームシステムへの広範な影響が可能になります。

米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、この脆弱性を「既知の悪用された脆弱性 (Known Exploited Vulnerabilities)」カタログに追加しており、実際に悪用されていることを示しています。

1.2 深刻度

CVSSv3スコアは9.3であり、深刻度は「Critical」（致命的）と評価されています。

2. 対象となる環境

Langflowのインスタンスが影響を受けます。 Langflowは、AIエージェントやRetrieval-Augmented Generation (RAG) パイプラインを構築するための人気のあるオープンソースのビジュアルフレームワークです。

2.1 影響を受けるOSバージョン

不明。この脆弱性はLangflowアプリケーション自体に存在するため、特定のOSバージョンに依存する情報は見当たりません。

2.2 影響を受ける設定

  • Langflowバージョン1.8.1以前が影響を受けます。
  • 公開フロー機能が有効になっている自己ホスト型Langflowデプロイメント。
  • ネットワークからアクセス可能なクラウドベースのLangflowインスタンス。
  • POST /api/v1/build_public_tmp/{flow_id}/flowエンドポイントが外部に公開されている設定。

3. 影響を受けた時の兆候

  • 疑わしいPythonコードを含むdataパラメータを持つ/api/v1/build_public_tmp/*/flowエンドポイントへの予期しないPOSTリクエスト。
  • Langflowサーバープロセスからの異常なプロセス生成（例：シェルコマンド、リバースシェル）。
  • Langflowサーバーから未知の外部IPアドレスへのネットワーク接続。
  • Langflowが実行されているシステム上で新しいユーザーアカウントやSSHキーが作成される。
  • クリプトマイナーのデプロイやボットネット活動の兆候。

4. 推奨対策

4.1 本対策

Langflowをバージョン1.9.0以降に直ちにアップグレードしてください。 この修正により、build_public_tmpエンドポイントからdataパラメータが完全に削除され、攻撃者が悪意のあるフローデータを供給することを防ぎます。

4.2 暫定回避策（緩和策）

  • Langflowインスタンスへのネットワークアクセスをファイアウォールルールで制限する。
  • Langflowインスタンスの前に認証レイヤーを持つリバースプロキシをデプロイし、/api/v1/build_public_tmpエンドポイントへのアクセスを信頼できるIPに制限するか、必要ない場合は完全に無効にする。
  • ネットワークセグメンテーションを実装し、Langflowインスタンスが信頼された内部ネットワークからのみアクセス可能であることを確認し、リモートアクセスにはVPNなどの認証メカニズムを要求する。
  • build_public_tmpエンドポイントからdataパラメータを削除し、データベースに保存されているデータのみが実行されるようにする。
  • AUTO_LOGIN=falseを設定して、攻撃者が既存の公開フローがないインスタンスで攻撃をブートストラップする能力を排除する（これは脆弱性を修正するものではないが、緩和策として機能する）。
  • 公開フローの構築を完全に無効にすることを検討する。

他に解説すべき観点

  • この脆弱性は、公開されてから20時間以内に悪用が観測されました。これは、現代の攻撃者がアドバイザリの内容から直接エクスプロイトを構築し、PoCコードがない場合でも迅速に攻撃を仕掛ける傾向を示しています。
  • Langflowは、AIエージェントやRAGパイプラインを構築するための人気のあるオープンソースフレームワークであり、GitHubで145,000以上のスターを獲得しているため、多くの潜在的に露出したデプロイメントが存在し、攻撃対象が広いです。
  • CISAは、米国連邦政府機関に対し、2026年4月8日までにこの脆弱性に対処するよう義務付けています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る