Langflow の公開フローAPIで認証不要のコード実行（悪用確認済み）

Critical（CVSS 9.8）に分類されるLangflow Langflowの脆弱性です。AI エージェント構築ツール Langflow の POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントに、認証なしで公開フローをビルドできる設計上の穴がある。このエンドポイントは公開フロー用なので未認証であること自体は意図された動作だが、任意指定の data パラメータを付けると、データベースに保存されたフロー定義ではなく攻撃者が渡したフローデータを使ってしまう。フロー定義のノードには Python コードを書けるため、そのコードがサンドボックスなしで exec() に渡され、結果として未認証のリモートコード実行になる。advisory は、これは /api/v1/validate/code に認証を追加して修正された CVE-2025-3248 とは別物だと明示している。修正版について記述の粒度が分かれており、NVD の説明文は 1.9.0 未満が影響し 1.9.0 で修正されたとする一方、CPE の影響範囲は 1.8.2 未満で、参照には 1.8.2 のリリースノートが挙がっている。実際の適用版は公式のアドバイザリで要確認である。CVSS は NVD（Primary）が 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub が CVSS 4.0 で 9.3 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L）で、いずれも Critical である。CISA KEV には 2026-03-25 に収載され、是正期限は 2026-04-08、ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

自分の環境が該当するかは、まず Langflow を外部公開しているかどうかで切り分ける。未認証で到達できる経路が本質なので、ALB や Ingress、Cloud Run、リバースプロキシの前段で 7860 番などの Langflow のポートがインターネットに出ていないかを確認し、次にバージョンを見る。バージョンは pip show langflow か docker image inspect、あるいは UI のフッターで確認できる。見落としやすいのは、検証用に立てて放置したコンテナ、Docker Compose のサンプル構成、社内の LLM 実験環境で、いずれも認証を付けずに立ち上げがちな場所である。すぐ更新できない場合の緩和策は、経路を閉じることに絞られる。当該エンドポイントは仕様として未認証なので設定で認証を足す形の回避はできず、インターネットからの到達を止める（セキュリティグループや firewall で送信元を絞る、認証プロキシの背後に置く、公開フロー機能を使っていなければ外部公開そのものをやめる）ほかない。完了条件は、（1）稼働中の全インスタンスが公式に修正版とされた版へ上がっていること、（2）インターネットから直接叩ける Langflow が無いことを外側から確認できていること、の2点である。ただし KEV 収載済み、つまり実際に悪用されている脆弱性なので、更新だけでは終わらない。フローの実行権限で任意コードが動く前提なので、Langflow のプロセスが持っていた API キー（OpenAI などの LLM プロバイダのキー、データベースの資格情報、クラウドのメタデータ経由で取れるロール）はすべて漏洩したものとして再発行し、アクセスログに build_public_tmp への POST が無いか、コンテナ内に見慣れないプロセスや cron が無いかを確認する。是正期限 2026-04-08 は既に過ぎているため、残っている環境は期限超過扱いで最優先に処理する。

Langflow Langflow を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-33017）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/08 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。