CVE-2026-9198 - IBM Langflow OSS — неаутентифицированное удалённое выполнение кода (RCE)

Критическая уязвимость удалённого выполнения кода без аутентификации, затрагивающая IBM Langflow OSS.

Уязвимость возникает в результате объединения двух слабостей:

1. /api/v1/auto_login может выдать привилегированный bearer-токен SUPERUSER неаутентифицированному сетевому вызывающему.
2. /api/v1/validate/code обрабатывает управляемый атакующим код Python в небезопасном контексте выполнения.

При объединении эти слабости могут привести к выполнению произвольного кода Python с привилегиями фонового процесса Langflow.

Уязвимость имеет оценку CVSS v3.1 — 9.8 (критическая) и классифицируется как CWE-94 — некорректный контроль генерации кода.

Затронутые версии

IBM рекомендует обновление до Langflow OSS 1.10.1.

Серьёзность

CVSS: 9.8 Critical

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Цепочка уязвимости

Unauthenticated attacker
        |
        v
/api/v1/auto_login
        |
        |  SUPERUSER bearer token
        v
/api/v1/validate/code
        |
        |  Unsafe Python evaluation
        v
Remote Code Execution
        |
        v
Langflow backend process

Суть проблемы безопасности не просто в существовании каждой из конечных точек. Воздействие возникает из сочетания примитива обхода аутентификации/выдачи токена с небезопасным механизмом проверки кода.

Влияние на безопасность

Успешная эксплуатация может предоставить атакующему выполнение кода в контексте безопасности фонового процесса Langflow.

В зависимости от развёртывания это может раскрыть:

• Секреты приложения
• Переменные окружения
• Учётные данные API
• Файлы, доступные процессу Langflow
• Внутренние сетевые ресурсы
• Подключённые AI/LLM-сервисы
• Базы данных и векторные хранилища
• Другие службы, доступные с хоста

Таким образом, практическое воздействие сильно зависит от привилегий и сетевого доступа, доступных процессу Langflow.

Безопасное HTTP-сканирование (fingerprinting)

Следующие запросы предназначены для неразрушающей идентификации и не содержат полезной нагрузки с выполнением кода.

Проверка службы Langflow

GET / HTTP/1.1
Host: TARGET
Accept: */*
Connection: close

Просмотр метаданных API

GET /docs HTTP/1.1
Host: TARGET
Accept: text/html,*/*
Connection: close

Проверка маршрута auto_login без передачи полезной нагрузки выполнения

GET /api/v1/auto_login HTTP/1.1
Host: TARGET
Accept: application/json
Connection: close

Для защитного тестирования фиксируйте код состояния, заголовки и структуру ответа, а не пытайтесь использовать какие-либо возвращённые учётные данные.

Запрос, ориентированный на обнаружение

Полезный шаблон защитной телеметрии:

/api/v1/auto_login
        followed shortly by
/api/v1/validate/code

Источник, выполняющий эти запросы без обычного трафика фронтенда Langflow вокруг них, заслуживает особого внимания.

Чего не следует делать в производственной среде

Не тестируйте уязвимость, отправляя произвольный код Python в /api/v1/validate/code на производственном экземпляре.

Безопасный рабочий процесс проверки:

1. Identify the Langflow version
2. Confirm whether it is <= 1.10.0
3. Review access logs for the affected endpoints
4. Check for unexpected SUPERUSER token issuance
5. Check process/application logs for suspicious Python execution
6. Upgrade to 1.10.1
7. Rotate potentially exposed credentials
8. Investigate the host if exploitation is suspected

Обнаружение

Отслеживайте:

POST /api/v1/validate/code
GET  /api/v1/auto_login
POST /api/v1/auto_login

Особенно подозрительное поведение включает:

• Неаутентифицированные запросы к /api/v1/auto_login
• Ответы 200 OK, содержащие access_token
• Запрос auto_login, сразу за которым следует /api/v1/validate/code
• Запросы, поступающие с неожиданных внешних адресов
• Пользовательские агенты, не относящиеся к браузерам
• Сообщения об ошибках, связанные с Python/кодом, в ответах Langflow
• Неожиданные дочерние процессы, порождаемые службой Langflow

Устранение

Обновите Langflow OSS до:

1.10.1 or later

IBM конкретно рекомендует обновление до 1.10.1.

Если предполагается эксплуатация, одного только исправления недостаточно. Проверьте журналы и телеметрию хоста, а также ротируйте секреты, которые могли быть доступны процессу Langflow.

Раскрытие / Статус

• CVE: CVE-2026-9198
• CWE: CWE-94
• Серьёзность: Critical
• CVSS: 9.8
• Затронуто: Langflow OSS 1.0.0–1.10.0
• Исправлено: 1.10.1
• CISA KEV: Да
• Эксплуатация: Сообщается об активной эксплуатации

CISA добавила CVE-2026-9198 в свой каталог Known Exploited Vulnerabilities 4 августа 2026 года.

Ссылки

• NVD: CVE-2026-9198
• Бюллетень безопасности IBM: неаутентифицированное удалённое выполнение кода через обход auto-login и проверку кода
• Консультация GitHub: GHSA-5wm9-vgmg-cjv6
• Каталог CISA Known Exploited Vulnerabilities

Отказ от ответственности

Этот репозиторий предназначен для авторизованных исследований в области безопасности, анализа уязвимостей, разработки средств обнаружения и контролируемых лабораторных сред.