Langflowのコードインジェクション

Langflowは、LangChainを基盤とした、GUI（グラフィカルユーザーインターフェース）上でドラッグ＆ドロップによりLLMアプリケーションを構築できるローコード・オープンソースツールです。
これはLangChainのGUI版で、プログラミングの知識が少なくても、AIワークフローを視覚的に設計することができます。
OpenAI, Anthropic, ローカルモデルなどをサポートしていて、自身の環境にインストールして利用することができます。
AIエージェントを作るなどできるこのLangflowにおいて、脆弱性が確認されています。

• CVE-2026-33017
  CVSSベーススコアは9.3です。
  この脆弱性は脅威アクターが任意のPythonコードを実行できるもので、Langflowのバージョン1.8.1以前のバージョンに影響を与えます。
  サンドボックス化されていないフロー実行のため、細工された単一のHTTPリクエストを介して悪用される可能性があります。

この脆弱性は、公表されてからたったの20時間後に、実際の脅威活動で悪用されたことが確認されています。
現時点ではこの脆弱性の概念実証コードは公表されているのですが、この公表後20時間の時点ではまだ存在していませんでした。
脅威アクターは研究者が概念実証コードを公表するより前に自分で脆弱性を悪用するためのコードを書いて脆弱性を悪用したということを示します。
概念実証コードの公開の是非が論じられることがありますが、この例からは、研究者のサンプルコードの有無とは関係なく悪用が開始される例もあることを物語っています。

このCVE-2026-33017は、先日、KEV（CISAのKnown Exploited Vulnerability）に登録されました。
KEVに登録された脆弱性だけが対処すべきものであるなどということではありませんが、特に注意が必要なものとしてみることは必要でしょう。
対策はいつも通りです、タイムリーに更新して対応しておきましょう。

CVE-2026-33017: How attackers compromised Langflow AI pipelines in 20 hours
https://www.sysdig.com/blog/cve-2026-33017-how-attackers-compromised-langflow-ai-pipelines-in-20-hours

CISA Adds One Known Exploited Vulnerability to Catalog
https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog