Krytyczna luka w IBM Langflow OSS umożliwiająca eskalację uprawnień

Co wiadomo

W wersjach IBM Langflow OSS od 1.0.0 do 1.11.1 uwierzytelniony atakujący może wykonać dowolne polecenia systemu operacyjnego na serwerze poprzez zapisanie przepływu z odpowiednio spreparowanym polem typu i wywołanie budowy powiązanego przepływu. Luka ta pozwala na eskalację uprawnień z poziomu uwierzytelnionego użytkownika do wykonania poleceń na poziomie systemu operacyjnego, omijając politykę LANGFLOW_ALLOW_CUSTOM_COMPONENTS=false.

Wpływ biznesowy

Ta krytyczna luka stwarza poważne zagrożenie dla bezpieczeństwa infrastruktury IT, ponieważ umożliwia atakującemu pełną kontrolę nad procesem serwera i potencjalnie całym systemem. Może to prowadzić do nieautoryzowanego dostępu do danych, modyfikacji systemu oraz dalszego rozprzestrzeniania się ataku w sieci. Operatorzy powinni traktować tę lukę jako priorytetową do zaadresowania, aby zapobiec poważnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne przejrzenie dostępnych aktualizacji i łatek od dostawcy Langflow oraz ich wdrożenie. W międzyczasie ogranicz dostęp do serwera tylko do zaufanych użytkowników i monitoruj logi pod kątem podejrzanej aktywności związanej z przepływami. Zweryfikuj konfigurację polityk bezpieczeństwa, szczególnie ustawienie LANGFLOW_ALLOW_CUSTOM_COMPONENTS. W przypadku potrzeby wsparcia w zakresie weryfikacji wersji, zarządzania łatami lub ograniczenia ekspozycji sieciowej, zespół DataHouse pozostaje do dyspozycji.

Źródła

• NVD
• Reference