Des vulnérabilités critiques dans Langflow permettent l'exécution de code à distance sans authentification

IBM a révélé deux vulnérabilités de sécurité critiques dans Langflow, une plateforme open source pour la création d'agents IA et de workflows. Ces failles, présentes dans toutes les versions de la 1.0.0 à la 1.12.8, permettent à des attaquants distants de contourner l'authentification ou d'exécuter du code arbitraire sur les serveurs affectés sans nécessiter de compte. La seule mesure corrective consiste à mettre à niveau vers la version 1.13.0, publiée le 22 octobre.

Ce qui s'est passé

Langflow sert d'interface visuelle pour construire des applications basées sur les grands modèles de langage (LLM), permettant aux développeurs d'enchaîner des composants en workflows complexes. Comme ces workflows traitent souvent des données sensibles et se connectent à divers services externes, la posture de sécurité de la plateforme est cruciale pour les déploiements en entreprise. IBM, qui gère les rapports de vulnérabilité pour le projet, a publié un bulletin le 28 octobre détaillant quatre failles spécifiques, dont deux sont classées critiques avec un score CVSS de 9,8.

Les problèmes les plus graves concernent des contrôles d'authentification inadéquats et une régulation insuffisante de la génération de code. Plus précisément, CVE-2026-93680 permet à un attaquant de contourner entièrement les restrictions de sécurité, tandis que CVE-2026-110186 permet l'exécution de code arbitraire. Les deux vulnérabilités peuvent être exploitées par des utilisateurs non authentifiés, ce qui signifie qu'aucun identifiant de connexion valide n'est requis pour initier une attaque. Une troisième faille de sévérité élevée, CVE-2026-110193, nécessite un compte à privilèges faibles mais permet tout de même l'exécution de commandes système via l'Agentic Assistant.

Selon la mise à jour du 30 octobre du catalogue des vulnérabilités connues et exploitées (KEV) de la CISA, aucune de ces deux failles critiques n'y figure encore, bien que six autres vulnérabilités de Langflow y soient actuellement suivies. Cependant, le risque reste aigu car un module pour le Metasploit Framework existe déjà et exploite la vulnérabilité de contournement d'authentification, CVE-2026-93680. Cela indique que des outils d'exploitation actifs sont publiquement disponibles, augmentant la probabilité d'attaques opportunistes contre les instances non patchées.

Comment cela fonctionne

La vulnérabilité de contournement d'authentification provient de la manière dont Langflow gère le Model Context Protocol (MCP). Le MCP permet à Langflow d'exposer ses workflows comme des outils pour d'autres applications IA. IBM note que l'une des failles implique une "exécution de code à distance non authentifiée exploitable via l'énumération des outils du protocole de contexte de modèle". Un attaquant peut se connecter au point de terminaison MCP du serveur Langflow sans fournir d'identifiants, démarrer une session et énumérer les outils disponibles. Dans les configurations où la connexion automatique est activée, cet accès peut rapidement aboutir à une escalade de privilèges.

La connexion automatique est contrôlée par le paramètre LANGFLOW_AUTO_LOGIN, qui est activé par défaut dans la version 1.12.8. Lorsqu'il est actif, ce paramètre connecte les utilisateurs en tant que superutilisateurs sans demander de mot de passe. La documentation du code avertit explicitement que cette fonctionnalité "contourne l'authentification et ne doit être utilisée que dans les environnements de développement". Malgré cet avertissement, son statut par défaut dans les versions récentes expose de nombreux déploiements de type production au risque. Le module Metasploit ciblant ce problème a été testé sur Langflow 1.8.4 avec la connexion automatique activée, démontrant à quel point il est facile pour un attaquant d'obtenir un accès privilégié.

La seconde faille critique, CVE-2026-110186, concerne un contrôle inadéquat de la génération de code. Cette vulnérabilité permet à un attaquant d'injecter et d'exécuter du code arbitraire sur le serveur. IBM décrit cela comme une correction incomplète d'un précédent contrôle de sécurité lié à la connexion automatique. Il n'est pas clair, selon le bulletin, si les serveurs ayant explicitement désactivé la connexion automatique restent vulnérables à ce chemin d'exécution de code spécifique, mais l'étendue des versions affectées suggère un problème profondément ancré dans l'architecture centrale plutôt qu'une simple erreur de configuration.

Détails clés

• Versions affectées : Toutes les versions de Langflow de la 1.0.0 à la 1.12.8 sont vulnérables.
• Version corrigée : Seule la version 1.13.0, publiée le 22 octobre, corrige ces failles.
• CVE critiques : CVE-2026-93680 (contournement d'authentification) et CVE-2026-110186 (exécution de code arbitraire) ont toutes deux un score CVSS de 9,8.
• Disponibilité de l'exploit : Un module Metasploit existe pour CVE-2026-93680, facilitant l'accès non authentifié aux points de terminaison MCP.
• Risque de configuration par défaut : Le paramètre LANGFLOW_AUTO_LOGIN est activé par défaut dans la version 1.12.8, accordant des privilèges de superutilisateur sans authentification.
• Aucune solution de contournement : IBM déclare qu'il n'existe pas de solutions de contournement efficaces pour les serveurs qui ne peuvent pas être mis à niveau immédiatement.

Pourquoi c'est important

Pour les équipes d'ingénierie utilisant Langflow pour prototyper ou déployer des agents IA, ces vulnérabilités représentent un risque significatif pour la chaîne d'approvisionnement. La combinaison d'un accès non authentifié et de l'exécution de code arbitraire signifie que toute instance Langflow exposée pourrait être entièrement compromise. Les attaquants pourraient voler des identifiants sensibles, manipuler des workflows IA ou utiliser le serveur comme point de pivot pour une intrusion réseau plus poussée. Le fait que le module d'exploitation soit déjà public abaisse la barrière à l'entrée pour les acteurs de menace moins sophistiqués, rendant le patchage rapide essentiel.

L'activation par défaut de la connexion automatique dans les versions récentes met en évidence une tension courante dans les outils de développement entre facilité d'utilisation et sécurité. Bien que pratique pour le développement local, l'inclusion de tels paramètres par défaut dans des versions plus larges peut entraîner une exposition généralisée lorsque les développeurs oublient de durcir les configurations avant le déploiement. Cet incident souligne la nécessité de revues de sécurité rigoureuses des paramètres par défaut dans les outils d'infrastructure IA open source, en particulier ceux qui gèrent l'exécution de code et les comportements des agents.

Ce que vous pouvez faire

• Mettez à niveau immédiatement : Mettez à jour votre installation Langflow vers la version 1.13.0 en utilisant pip ou Docker.
• Sauvegardez vos données : Avant la mise à niveau, sauvegardez votre base de données, votre clé secrète et vos fichiers téléversés pour éviter toute perte de données.
• Préparez-vous aux changements d'authentification : Si vous utilisez la connexion automatique, préparez les comptes existants à la connexion par mot de passe tel que décrit dans le guide de mise à niveau de Langflow.
• Utilisez la bonne image Docker : Passez à l'image langflowai/langflow:1.13.0 tout en préservant les volumes de données persistants.
• Suivez les étapes de récupération : Si vous perdez l'accès après la mise à niveau, utilisez les étapes de récupération officielles au lieu de réinstaller, ce qui peut supprimer les flows.
• Surveillez les mises à jour : Gardez un œil sur les bulletins de sécurité d'IBM et le catalogue de la CISA pour toute nouvelle évolution concernant ces CVE.