Lỗ hổng nghiêm trọng trong Langflow cho phép kẻ tấn công chưa xác thực chạy mã trên máy chủ

IBM vừa công bố hai lỗ hổng nghiêm trọng trong Langflow, công cụ mã nguồn mở dùng để xây dựng AI agent và workflow. Kẻ tấn công từ xa không cần tài khoản có thể lợi dụng để vượt qua xác thực hoặc chạy mã tùy ý trên máy chủ. Mọi bản phát hành từ 1.0.0 đến 1.12.8 đều chứa lỗ hổng, và cách khắc phục duy nhất là nâng cấp lên phiên bản 1.13.0.

Phạm vi ảnh hưởng và mức độ khai thác

Tính đến bản cập nhật ngày 30/10, cả hai lỗ hổng này chưa nằm trong danh mục lỗ hổng đang bị khai thác (Known Exploited Vulnerabilities) của CISA. Tuy nhiên, danh mục này đã ghi nhận sáu lỗ hổng Langflow khác, gần nhất là CVE-2026-9198 được thêm vào tháng 8.

Bản tin của IBM công bố ngày 28/10 và cập nhật ngày hôm sau nêu bốn lỗ hổng Langflow. Một trong số đó là lỗi thực thi mã từ xa không cần xác thực, khai thác thông qua việc liệt kê công cụ của Model Context Protocol (MCP). Thông qua MCP, Langflow có thể cung cấp các luồng xử lý của mình như công cụ cho các ứng dụng AI hỗ trợ giao thức này.

Một module trong Metasploit Framework công khai đã đề cập đến CVE-2026-93680, lỗ hổng vượt xác thực. Module này kết nối tới endpoint MCP của máy chủ Langflow mà không cần thông tin đăng nhập, khởi tạo phiên và liệt kê các công cụ máy chủ cung cấp. Nó chưa chạy mã hay lệnh trên máy chủ. Tác giả module ghi nhận các phiên bản Langflow bị ảnh hưởng là 1.5.0 đến 1.11.4, hẹp hơn phạm vi IBM đưa ra.

Cơ chế đăng nhập tự động và lỗ hổng liên quan

Khi bật đăng nhập tự động, Langflow đăng nhập người dùng với quyền superuser mà không yêu cầu đăng nhập. Thiết lập LANGFLOW_AUTO_LOGIN được bật mặc định trong Langflow 1.12.8. Phần mô tả mã nguồn cảnh báo thiết lập này bỏ qua xác thực và chỉ nên dùng trong môi trường phát triển. Module của Metasploit đã được thử nghiệm trên Langflow 1.8.4 với đăng nhập tự động được bật.

Một lỗ hổng khác trong bốn lỗi được IBM nêu là khắc phục không đầy đủ cơ chế bảo mật đăng nhập tự động. Bản tin không cho biết liệu máy chủ đã tắt đăng nhập tự động có bị ảnh hưởng hay không.

Nâng cấp lên 1.13.0

Langflow 1.13.0 ra mắt ngày 22/10. Phiên bản 1.12.8 phát hành cùng ngày vẫn còn lỗ hổng, và tính đến ngày 2/11, PyPI không liệt kê bản 1.12 nào mới hơn. IBM không đưa ra biện pháp thay thế cho các máy chủ chưa thể nâng cấp. Langflow 1.13 tắt đăng nhập tự động theo mặc định.

Quy trình nâng cấp gồm các bước:

• Sao lưu cơ sở dữ liệu, khóa bí mật và các tệp đã tải lên.
• Nếu máy chủ dùng đăng nhập tự động, chuẩn bị tài khoản hiện có để đăng nhập bằng mật khẩu theo hướng dẫn nâng cấp của Langflow.
• Nâng cấp gói Python bằng lệnh pip install --upgrade "langflow==1.13.0". Với Docker, chuyển sang image langflowai/langflow:1.13.0 và giữ dữ liệu lưu trữ của triển khai.

Nếu không thể đăng nhập sau khi nâng cấp, cần làm theo các bước khôi phục mà hướng dẫn nâng cấp liên kết tới. Không xóa hay cài lại Langflow để lấy lại quyền truy cập, vì tài liệu của Langflow cảnh báo việc này có thể xóa vĩnh viễn các luồng xử lý.

Các lỗ hổng khác được công bố

Ngày 29/10, IBM cũng công bố hồ sơ CVE cho 29 lỗ hổng Langflow khác và xác định phiên bản 1.12.4 và 1.12.5 là bản khắc phục. Một trong số đó, CVE-2026-104339, cũng có thể cho phép kẻ tấn công không có tài khoản chạy mã tùy ý, và IBM đánh giá mức độ nghiêm trọng 9.8. Không hồ sơ nào trong 33 hồ sơ, kể cả bốn lỗi nêu trên, liệt kê phiên bản 1.13.0 là bị ảnh hưởng.

Nguồn: The Hacker News