Podatności IBM Langflow OSS

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 (wielokrotnie powtórzone) może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu systemu operacyjnego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 umożliwia zdalnym uwierzytelnionym atakującym ominięcie ograniczeń dotyczących tylko localhost i zapis dowolnych konfiguracji serwera MCP do plików konfiguracyjnych IDE na systemie hosta.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.3 zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym kompozytora Model Context Protocol (MCP), gdy mcp_composer_enabled=true (domyślnie) i projekty są skonfigurowane z auth_type=oauth.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na dostęp do prywatnych wektorowych dokumentów innego użytkownika poprzez utworzenie własnego przepływu z pasującymi wartościami Chroma persist_directory i collection_name. Atakujący otrzymuje dokładną treść ofiary w swoim wyjściu przepływu, mimo braku autoryzacji do odczytu przepływu ofiary. Dodatkowo atakujący może zanieczyścić kolekcję ofiary, wstawiając własne dokumenty do współdzielonej przestrzeni nazw.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia zdalnemu atakującemu przemieszczanie się po katalogach systemu. Wystarczy wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” ( /../ ), aby odczytać dowolne pliki w systemie.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 umożliwia uwierzytelnionym użytkownikom dostęp i manipulację zadaniami budowania innych użytkowników z powodu nieprawidłowej kontroli dostępu do pobierania logów i nieuwierzytelnionych endpointów budowania.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 pozwala atakującemu na ponowne wykorzystanie przestrzeni nazw FAISS innego użytkownika, co umożliwia dostęp do treści wektorowych przeznaczonych tylko dla właściciela oraz wpływanie na wyniki późniejszych zapytań. Prowadzi to do ujawnienia informacji między użytkownikami i ograniczonego wpływu na integralność poprzez trwałe zatruwanie zwracanych wyników.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.1 pozwala uwierzytelnionemu atakującemu na wykorzystanie komponentu SaveToFile do odczytu i modyfikacji plików innych użytkowników poprzez podanie absolutnych ścieżek do lokalizacji ofiary. W trybie dołączania atakujący odczytuje zawartość pliku ofiary, dołącza własne dane i przesyła kopię do swojego obszaru. W trybie nadpisywania może zastąpić zawartość pliku ofiary dowolnymi danymi.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.0 umożliwia uwierzytelnionym użytkownikom nadpisywanie parametrów komponentów w czasie wykonania przez API. Krytyczna luka bezpieczeństwa istnieje w mechanizmie filtrowania parametrów w funkcji `apply_tweaks()`.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu odczyt dowolnych plików, w tym klucza podpisu JWT, a następnie fałszowanie tokenów uwierzytelniających dla dowolnego użytkownika.

Podatność w IBM Langflow OSS (wersje 1.0.0-1.10.0) umożliwia uwierzytelnionemu atakującemu utworzenie złośliwego przepływu, który prowadzi do zapisu dowolnych plików w systemie poprzez specjalnie spreparowany nagłówek Content-Disposition.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 zawiera podatność w komponencie Python Interpreter. Uwierzytelniony użytkownik może wykorzystać nieprawidłową walidację danych wejściowych do wykonania dowolnych poleceń z podwyższonymi uprawnieniami.

IBM Langflow OSS w wersjach 1.0.0 do 1.10.1 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia w publicznym punkcie końcowym budowania przepływu (/api/v1/build_public_tmp/{flow_id}/flow). Podatność wynika z niekompletnej listy blokowanych komponentów w funkcji validate_public_flow_no_code_execution(), która nie blokuje kilku komponentów agentów wykonujących kod, takich jak OpenDsStarAgent, CodeActAgentSmolagents i CSVAgent.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Komponenty RSSReaderComponent i SearXNG wykonują niezweryfikowane żądania HTTP do adresów URL kontrolowanych przez użytkownika, omijając zabezpieczenia SSRF wprowadzone w wersji 1.9.3.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.6 zawiera brak uwierzytelniania w endpointach /api/v1/build_public_tmp/, co pozwala nieuwierzytelnionemu atakującemu na odczyt danych zdarzeń budowania lub anulowanie zadań przy użyciu prawidłowego identyfikatora zadania, prowadząc do ujawnienia informacji i odmowy usługi.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie URL, spowodowaną warunkiem wyścigu TOCTOU, który może być wykorzystany przez ponowne wiązanie DNS.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.3 zawiera podatność na obejście ochrony przed fałszowaniem żądań po stronie serwera (SSRF) w komponencie API Request. Uwierzytelniony atakujący z niskimi uprawnieniami (rola autora przepływu) może ominąć zabezpieczenia SSRF, włączając parametr follow_redirects i podając publiczny URL przekierowujący na adresy wewnętrzne/localhost. Podatność wynika z faktu, że aplikacja weryfikuje tylko początkowy URL, ale nie ponownie weryfikuje miejsc docelowych przekierowań.

IBM Langflow OSS w wersjach od 1.0.0 do 1.9.1 może pozwolić uwierzytelnionemu użytkownikowi na odczyt lub modyfikację wrażliwych informacji poprzez obejście uwierzytelnienia za pomocą niebezpiecznych bezpośrednich odniesień do obiektów.