技術分析および防御ガイド: CVE-2025-3248 (Langflow コードインジェクション)

Langflow に影響を与える重大なコードインジェクション脆弱性、CVE-2025-3248 に関する教育的なリファレンスと防御的分析。

📌 脆弱性プロファイル

• CVE ID: CVE-2025-3248
• 脆弱性の種類: リモートコード実行 (RCE) / コードインジェクション (CWE-94)
• 影響を受けるソフトウェア: Langflow (バージョン < 1.3.0)
• 影響の深刻度: 重大 (未認証のリモートコード実行)
• 対象エンドポイント: /api/v1/validate/code

---

🔍 技術的メカニズム

Langflow は、マルチエージェントおよび RAG アプリケーションを構築するためのオープンソースのビジュアルフレームワークです。開発者がカスタム Python コンポーネントを作成できるように、コードスニペットをオンザフライで検証および実行するロジックを提供しています。

根本原因

1. 入力サニタイズの欠如: 1.3.0 より前のバージョンでは、/api/v1/validate/code エンドポイントがユーザーリクエストからの Python コード文字列を受け入れます。
2. 安全でない実行: バックエンドは、十分なサンドボックス化、入力サニタイズ、実行制限を行うことなく、動的評価メカニズム (exec() や同様のランタイム評価器など) を用いてこのコードを直接処理します。
3. 認証が不要: このエンドポイントはデフォルトで未認証ユーザーに公開されており、ネットワークアクセスを持つ誰もが実行をトリガーできます。

その結果、攻撃者は Python のシステム実行ペイロード (os や subprocess モジュールを利用するなど) を送り込み、Langflow サービスランナーのシステム権限の下で任意のコマンドを実行できます。

---

🛠️ 緩和策とハードニング

Langflow インスタンスを運用または管理している場合は、以下の制御を適用してください:

1. 直ちにアップグレードする

この脆弱性は Langflow バージョン 1.3.0 以降で解決されています。デプロイパイプラインが更新されていることを確認してください:

pip install --upgrade langflow

2. ネットワークセグメンテーションとアクセス制御

• API の公開を制限する: Langflow の管理インターフェースや API エンドポイントを公共のインターネットに直接公開しないでください。リバースプロキシ (Nginx、Traefik など) またはクラウド API ゲートウェイを使用してアクセスを制限してください。
• 認証を有効にする: すべての API ルートがバックエンドサービスに到達する前に、堅牢なユーザー認証が強制されるようにしてください。

3. コンテナの分離 (最小権限の原則)

Langflow を Docker または Kubernetes 内で実行している場合:

• コンテナプロセスを root として実行しないでください。
• コンテナセキュリティプロファイル (AppArmor、Seccomp) を使用してシステムコールを制限してください。
• 可能な場合は読み取り専用のルートファイルシステムを使用し、コンテナからのネットワーク送信を信頼できる宛先のみに制限してください。

---

⚠️ 免責事項

このドキュメントは、許可されたセキュリティ評価、防御の強化、および教育目的のみで維持されています。すべてのテストは、自己ホスト型の許可されたラボ環境に限定してください。

ターゲットの探索

潜在的なターゲットを見つけるには、Fofa および Shodan.io を使用してください

PoC の実行

まず、リポジトリをクローンします:

git clone https://github.com/zoly-zoly/CVE-2025-3248.git

エクスプロイトを実行します:

python3 CVE-2025-3248.py --target http://IP:Port --cmd "Command"