Kritische Langflow-Schwachstellen ermöglichen nicht authentifizierten Remote-Code-Ausführung

IBM hat zwei kritische Sicherheitslücken in Langflow offengelegt, einer Open-Source-Plattform für die Erstellung von KI-Agenten und Workflows. Diese Schwachstellen sind in jeder Version von 1.0.0 bis 1.12.8 vorhanden und ermöglichen es Angreifern aus der Ferne, die Authentifizierung zu umgehen oder beliebigen Code auf betroffenen Servern auszuführen, ohne dass ein Konto erforderlich ist. Die einzige Abhilfe besteht darin, auf Version 1.13.0 zu aktualisieren, die am 22. Oktober veröffentlicht wurde.

Was passiert ist

Langflow dient als visuelle Oberfläche für die Konstruktion von Anwendungen mit großen Sprachmodellen und ermöglicht es Entwicklern, Komponenten zu komplexen Workflows zu verketten. Da diese Workflows oft sensible Daten verarbeiten und sich mit verschiedenen externen Diensten verbinden, ist die Sicherheitslage der Plattform für Unternehmensbereitstellungen entscheidend. IBM, das Vulnerability-Berichte für das Projekt bearbeitet, hat am 28. Oktober ein Bulletin veröffentlicht, das vier spezifische Schwachstellen beschreibt, von denen zwei als kritisch mit einem CVSS-Score von 9,8 eingestuft werden.

Die schwerwiegendsten Probleme betreffen unzureichende Authentifizierungskontrollen und eine mangelnde Regulierung der Codegenerierung. Insbesondere CVE-2026-93680 ermöglicht es einem Angreifer, Sicherheitsbeschränkungen vollständig zu umgehen, während CVE-2026-110186 die Ausführung beliebigen Codes erlaubt. Beide Schwachstellen können von nicht authentifizierten Benutzern ausgenutzt werden, was bedeutet, dass keine gültigen Anmeldeinformationen erforderlich sind, um einen Angriff zu starten. Ein dritter Fehler mit hohem Schweregrad, CVE-2026-110193, erfordert ein Konto mit geringen Berechtigungen, erlaubt aber dennoch die Ausführung von Betriebssystembefehlen über den Agentic Assistant.

Stand des Updates vom 30. Oktober im Known Exploited Vulnerabilities-Katalog der CISA wurden weder diese beiden kritischen Schwachstellen noch andere sechs aktuelle Langflow-Schwachstellen dort gelistet. Das Risiko bleibt jedoch akut, da bereits ein Modul für das Metasploit Framework existiert, das die Authentifizierungsumgehungs-Schwachstelle CVE-2026-93680 ausnutzt. Dies deutet darauf hin, dass aktive Exploit-Tools öffentlich verfügbar sind, was die Wahrscheinlichkeit opportunistischer Angriffe auf ungepatchte Instanzen erhöht.

Wie es funktioniert

Die Schwachstelle zur Umgehung der Authentifizierung resultiert daraus, wie Langflow das Model Context Protocol (MCP) handhabt. MCP ermöglicht es Langflow, seine Workflows als Tools für andere KI-Anwendungen bereitzustellen. IBM weist darauf hin, dass eine der Schwachstellen "nicht authentifizierte Remote-Code-Ausführung, ausnutzbar durch Enumeration von Model Context Protocol-Tools" betrifft. Ein Angreifer kann sich ohne Bereitstellung von Anmeldeinformationen mit dem MCP-Endpunkt des Langflow-Servers verbinden, eine Sitzung starten und die verfügbaren Tools auflisten. In Konfigurationen, in denen automatischer Login aktiviert ist, kann dieser Zugriff schnell eskalieren.

Der automatische Login wird durch die Einstellung LANGFLOW_AUTO_LOGIN gesteuert, die in Version 1.12.8 standardmäßig aktiviert ist. Wenn aktiv, meldet diese Einstellung Benutzer als Superuser an, ohne nach einem Passwort zu fragen. Die Dokumentation des Codes warnt ausdrücklich, dass diese Funktion "die Authentifizierung umgeht und nur in Entwicklungsumgebungen verwendet werden sollte." Trotz dieser Warnung setzt der Standardstatus in aktuellen Releases viele produktionsnahe Bereitstellungen einem Risiko aus. Das Metasploit-Modul, das dieses Problem adressiert, wurde auf Langflow 1.8.4 mit aktiviertem automatischem Login getestet und demonstrierte, wie leicht ein Angreifer privilegierten Zugriff erlangen kann.

Die zweite kritische Schwachstelle, CVE-2026-110186, bezieht sich auf die unsachgemäße Kontrolle der Codegenerierung. Diese Schwachstelle ermöglicht es einem Angreifer, beliebigen Code auf dem Server einzuschleusen und auszuführen. IBM beschreibt dies als eine unvollständige Behebung einer früheren Auto-Login-Sicherheitskontrolle. Aus dem Bulletin geht nicht hervor, ob Server mit explizit deaktiviertem automatischem Login weiterhin anfällig für diesen spezifischen Codeausführungspfad sind, aber der breite Umfang der betroffenen Versionen deutet auf ein tiefgreifendes Problem in der Kernarchitektur hin, statt auf einen einfachen Konfigurationsfehler.

Wichtige Details

• Betroffene Versionen: Alle Langflow-Releases von 1.0.0 bis 1.12.8 sind verwundbar.
• Behobene Version: Nur Version 1.13.0, veröffentlicht am 22. Oktober, behebt diese Schwachstellen.
• Kritische CVEs: CVE-2026-93680 (Authentifizierungsumgehung) und CVE-2026-110186 (Ausführung beliebigen Codes) haben beide einen CVSS-Score von 9,8.
• Verfügbarkeit von Exploits: Für CVE-2026-93680 existiert ein Metasploit-Modul, das nicht authentifizierten Zugriff auf MCP-Endpunkte erleichtert.
• Risiko durch Standardkonfiguration: Die Einstellung LANGFLOW_AUTO_LOGIN ist in Version 1.12.8 standardmäßig aktiviert und gewährt Superuser-Rechte ohne Authentifizierung.
• Keine Workarounds: IBM gibt an, dass es keine wirksamen Workarounds für Server gibt, die nicht sofort aktualisiert werden können.

Warum es wichtig ist

Für Engineering-Teams, die Langflow zum Prototyping oder zur Bereitstellung von KI-Agenten nutzen, stellen diese Schwachstellen ein erhebliches Lieferkettenrisiko dar. Die Kombination aus nicht authentifiziertem Zugriff und der Ausführung beliebigen Codes bedeutet, dass jede exponierte Langflow-Instanz vollständig kompromittiert werden könnte. Angreifer könnten sensible Zugangsdaten stehlen, KI-Workflows manipulieren oder den Server als Sprungpunkt für weitere Netzwerkeinbrüche nutzen. Die Tatsache, dass das Exploit-Modul bereits öffentlich ist, senkt die Einstiegshürde für weniger ausgefeilte Bedrohungsakteure und macht schnelles Patching unerlässlich.

Die standardmäßige Aktivierung des automatischen Logins in aktuellen Versionen verdeutlicht eine häufige Spannung bei Entwicklerwerkzeugen zwischen Benutzerfreundlichkeit und Sicherheit. Während dies für lokale Entwicklung praktisch ist, kann das Ausliefern solcher Einstellungen als Standard in breiteren Releases zu weitreichender Exposition führen, wenn Entwickler vergessen, Konfigurationen vor der Bereitstellung zu härten. Dieser Vorfall unterstreicht die Notwendigkeit strenger Sicherheitsüberprüfungen von Standardeinstellungen in Open-Source-KI-Infrastrukturttools, insbesondere solchen, die Codeausführung und Agentenverhalten verwalten.

Was Sie tun können

• Sofort aktualisieren: Aktualisieren Sie Ihre Langflow-Installation auf Version 1.13.0 über pip oder Docker.
• Daten sichern: Sichern Sie vor dem Update Ihre Datenbank, Ihren Secret Key und hochgeladene Dateien, um Datenverlust zu vermeiden.
• Auf Authentifizierungsänderungen vorbereiten: Wenn Sie automatischen Login verwenden, bereiten Sie bestehende Konten auf die Anmeldung per Passwort vor, wie in den Upgrade-Richtlinien von Langflow beschrieben.
• Richtiges Docker-Image verwenden: Wechseln Sie zum Image langflowai/langflow:1.13.0, während persistente Datenvolumes erhalten bleiben.
• Wiederherstellungsschritte befolgen: Wenn Sie nach dem Update den Zugriff verlieren, nutzen Sie die offiziellen Wiederherstellungsschritte anstatt neu zu installieren, was Flows löschen kann.
• Updates überwachen: Behalten Sie die Sicherheitsbulletins von IBM und den Katalog der CISA im Auge, um neue Entwicklungen bezüglich dieser CVEs zu verfolgen.