CVE-2025-3248 — Langflow 인증되지 않은 원격 코드 실행

CVE-2025-3248에 대한 개념 증명(PoC) 익스플로잇으로, AI/LLM 워크플로우 구축 플랫폼인 Langflow의 인증되지 않은 원격 코드 실행 취약점입니다.

• 영향받는 버전: Langflow < 1.3.0
• 수정된 버전: 1.3.0
• 취약점 분류: 인증되지 않은 RCE (CWE-94, 코드 인젝션)
• 상태: 봇넷에 의해 실제 환경에서 악용되는 것이 관찰된 후 CISA의 알려진 악용 취약점 카탈로그에 추가됨.

근본 원인

Langflow는 UI(예: 사용자 정의 컴포넌트 코드)에서 제출된 Python 코드 스니펫을 "검증"하기 위한 엔드포인트 POST /api/v1/validate/code를 노출합니다. 내부적으로 ast.parse() / compile()을 사용하여 코드를 파싱하고 컴파일한 후 유효한지 여부를 보고합니다 — 인증이 필요 없습니다.

버그: Python은 데코레이터 함수가 호출되기 전에 파싱/컴파일 시점에 데코레이터 표현식을 평가합니다. 제출된 "검증할 코드"에 다음과 같은 데코레이터가 포함된 경우:

@exec("...악성 코드...")
def test():
    pass

코드가 파싱되는 순간 exec(...) 호출이 실행됩니다 — 검증은 실제로 를 호출할 필요가 없습니다. 인증이 없고 샌드박싱도 없다는 점과 결합되어, 인증되지 않은 단일 HTTP 요청만으로 Langflow를 실행 중인 호스트에서 임의의 명령을 실행할 수 있습니다.