Krytyczna luka w IBM Langflow OSS umożliwiająca nieautoryzowany dostęp

Co wiadomo

W wersjach IBM Langflow OSS od 1.0.0 do 1.10.0 luka w endpointcie /api/v1/login/auto_login pozwala na uzyskanie długotrwałych tokenów superużytkownika bez uwierzytelnienia, gdy włączona jest domyślnie opcja AUTO_LOGIN. Dodatkowo, nieodpowiednie ustawienia CORS mogą powodować wyciek tokenów do niezamierzonych źródeł, zwiększając ryzyko nieautoryzowanego dostępu.

Wpływ biznesowy

Ta luka o krytycznym poziomie CVSS 9.8 umożliwia zdalnym atakującym pełny dostęp administracyjny do systemu bez uwierzytelnienia, co może prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych i zakłóceń w działaniu usług. Firmy korzystające z dotkniętych wersji powinny traktować tę podatność jako priorytetową do natychmiastowego zaadresowania, aby zapobiec potencjalnym atakom i wyciekom danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne przejrzenie i zastosowanie dostępnych poprawek od dostawcy oraz wyłączenie funkcji AUTO_LOGIN, jeśli jest możliwe. Należy także zweryfikować i ograniczyć ustawienia CORS, aby zapobiec niezamierzonemu udostępnianiu tokenów. Warto przeprowadzić audyt logów pod kątem podejrzanej aktywności oraz ograniczyć ekspozycję usług na zewnętrzne sieci. DataHouse wspiera w weryfikacji wersji oprogramowania, zarządzaniu poprawkami oraz monitorowaniu i ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference