Lỗ hổng nghiêm trọng trong Langflow cho phép thực thi mã từ xa không cần xác thực

IBM đã công bố hai lỗ hổng bảo mật nghiêm trọng trong Langflow, một nền tảng mã nguồn mở để xây dựng tác nhân AI (AI agents) và quy trình làm việc (workflows). Các lỗi này tồn tại trong mọi phiên bản từ 1.0.0 đến 1.12.8, cho phép kẻ tấn công từ xa bỏ qua xác thực hoặc thực thi mã tùy ý trên các máy chủ bị ảnh hưởng mà không cần tài khoản. Biện pháp khắc phục duy nhất là nâng cấp lên phiên bản 1.13.0, được phát hành vào ngày 22 tháng 10.

Chuyện gì đã xảy ra

Langflow đóng vai trò là giao diện trực quan để xây dựng các ứng dụng mô hình ngôn ngữ lớn, cho phép các nhà phát triển liên kết các thành phần thành những quy trình làm việc phức tạp. Vì các quy trình này thường xử lý dữ liệu nhạy cảm và kết nối với nhiều dịch vụ bên ngoài, tư thế bảo mật của nền tảng là yếu tố then chốt đối với các triển khai doanh nghiệp. IBM, đơn vị chịu trách nhiệm tiếp nhận báo cáo lỗ hổng cho dự án, đã công bố một thông báo vào ngày 28 tháng 10 chi tiết về bốn lỗi cụ thể, trong đó hai lỗi được xếp loại nghiêm trọng với điểm CVSS là 9.8.

Các vấn đề nghiêm trọng nhất liên quan đến việc kiểm soát xác thực không đúng cách và thiếu quy định chặt chẽ đối với việc tạo mã. Cụ thể, CVE-2026-93680 cho phép kẻ tấn công bỏ qua hoàn toàn các hạn chế bảo mật, trong khi CVE-2026-110186 cho phép thực thi mã tùy ý. Cả hai lỗ hổng đều có thể bị khai thác bởi người dùng chưa xác thực, nghĩa là không cần thông tin đăng nhập hợp lệ để bắt đầu cuộc tấn công. Một lỗi mức độ cao thứ ba, CVE-2026-110193, yêu cầu một tài khoản có đặc quyền thấp nhưng vẫn cho phép thực thi các lệnh hệ điều hành thông qua Agentic Assistant.

Tính đến bản cập nhật ngày 30 tháng 10 của danh mục Lỗ hổng Đã bị Khai thác (Known Exploited Vulnerabilities) của CISA, hai lỗ hổng nghiêm trọng này chưa được liệt kê, mặc dù sáu lỗ hổng khác của Langflow hiện đang được theo dõi tại đó. Tuy nhiên, rủi ro vẫn rất cấp bách vì một module cho Metasploit Framework đã tồn tại để khai thác lỗ hổng bỏ qua xác thực, CVE-2026-93680. Điều này cho thấy các công cụ khai thác tích cực đã có sẵn công khai, làm tăng khả năng xảy ra các cuộc tấn công cơ hội vào các instance chưa được vá lỗi.

Cơ chế hoạt động

Lỗ hổng bỏ qua xác thực xuất phát từ cách Langflow xử lý Model Context Protocol (MCP). MCP cho phép Langflow phơi bày các quy trình làm việc của nó dưới dạng công cụ cho các ứng dụng AI khác. IBM lưu ý rằng một trong những lỗi liên quan đến "thực thi mã từ xa không cần xác thực có thể khai thác thông qua việc liệt kê công cụ của model context protocol". Kẻ tấn công có thể kết nối với endpoint MCP của máy chủ Langflow mà không cần cung cấp thông tin đăng nhập, bắt đầu một phiên và liệt kê các công cụ có sẵn. Trong các cấu hình bật tính năng tự động đăng nhập, quyền truy cập này có thể leo thang nhanh chóng.

Tự động đăng nhập được kiểm soát bởi thiết lập LANGFLOW_AUTO_LOGIN, vốn được bật theo mặc định trong phiên bản 1.12.8. Khi hoạt động, thiết lập này đăng nhập người dùng với tư cách superuser mà không hỏi mật khẩu. Tài liệu mã nguồn cảnh báo rõ ràng rằng tính năng này "bỏ qua xác thực và chỉ nên được sử dụng trong môi trường phát triển". Bất chấp cảnh báo này, trạng thái mặc định của nó trong các bản phát hành gần đây khiến nhiều triển khai giống môi trường sản xuất gặp rủi ro. Module Metasploit nhắm vào vấn đề này đã được thử nghiệm trên Langflow 1.8.4 với tính năng tự động đăng nhập được bật, minh họa cách dễ dàng mà một kẻ tấn công có thể giành được quyền truy cập đặc quyền.

Lỗi nghiêm trọng thứ hai, CVE-2026-110186, liên quan đến việc kiểm soát không đúng cách đối với quá trình tạo mã. Lỗ hổng này cho phép kẻ tấn công chèn và chạy mã tùy ý trên máy chủ. IBM mô tả đây là một biện pháp khắc phục chưa hoàn chỉnh đối với một kiểm soát bảo mật tự động đăng nhập trước đó. Vẫn chưa rõ từ thông báo liệu các máy chủ tắt tự động đăng nhập một cách tường minh có còn dễ bị tổn thương bởi đường dẫn thực thi mã cụ thể này hay không, nhưng phạm vi rộng lớn của các phiên bản bị ảnh hưởng gợi ý một vấn đề ăn sâu vào kiến trúc lõi hơn là một lỗi cấu hình đơn giản.

Chi tiết chính

• Phiên bản bị ảnh hưởng: Tất cả các bản phát hành Langflow từ 1.0.0 đến 1.12.8 đều dễ bị tổn thương.
• Phiên bản đã sửa lỗi: Chỉ phiên bản 1.13.0, phát hành vào ngày 22 tháng 10, giải quyết các lỗi này.
• CVEs nghiêm trọng: CVE-2026-93680 (bỏ qua xác thực) và CVE-2026-110186 (thực thi mã tùy ý) đều có điểm CVSS là 9.8.
• Khả năng khai thác: Một module Metasploit tồn tại cho CVE-2026-93680, tạo điều kiện cho việc truy cập không cần xác thực vào các endpoint MCP.
• Rủi ro cấu hình mặc định: Thiết lập LANGFLOW_AUTO_LOGIN được bật theo mặc định trong phiên bản 1.12.8, cấp quyền superuser mà không cần xác thực.
• Không có biện pháp tạm thời: IBM tuyên bố không có biện pháp thay thế hiệu quả nào cho các máy chủ không thể nâng cấp ngay lập tức.

Tại sao điều này quan trọng

Đối với các nhóm kỹ thuật sử dụng Langflow để nguyên mẫu hóa hoặc triển khai các tác nhân AI, những lỗ hổng này đại diện cho một rủi ro chuỗi cung ứng đáng kể. Sự kết hợp giữa truy cập không cần xác thực và thực thi mã tùy ý có nghĩa là bất kỳ instance Langflow nào bị lộ ra ngoài đều có thể bị xâm chiếm hoàn toàn. Kẻ tấn công có thể đánh cắp thông tin đăng nhập nhạy cảm, thao túng các quy trình làm việc AI hoặc sử dụng máy chủ làm điểm tựa để xâm nhập sâu hơn vào mạng. Việc module khai thác đã được công khai làm giảm rào cản gia nhập cho các mối đe dọa ít tinh vi hơn, khiến việc vá lỗi nhanh chóng trở nên thiết yếu.

Việc bật tự động đăng nhập theo mặc định trong các phiên bản gần đây nhấn mạnh sự căng thẳng phổ biến trong các công cụ dành cho nhà phát triển giữa tính dễ sử dụng và bảo mật. Mặc dù tiện lợi cho việc phát triển cục bộ, việc đưa các thiết lập như vậy vào mặc định cho các bản phát hành rộng rãi có thể dẫn đến tình trạng phơi nhiễm lan rộng khi các nhà phát triển quên củng cố cấu hình trước khi triển khai. Sự cố này nhấn mạnh nhu cầu về các đánh giá bảo mật nghiêm ngặt đối với các thiết lập mặc định trong các công cụ hạ tầng AI mã nguồn mở, đặc biệt là những công cụ quản lý việc thực thi mã và hành vi của tác nhân.

Bạn có thể làm gì

• Nâng cấp ngay lập tức: Cập nhật cài đặt Langflow của bạn lên phiên bản 1.13.0 bằng pip hoặc Docker.
• Sao lưu dữ liệu: Trước khi nâng cấp, hãy sao lưu cơ sở dữ liệu, khóa bí mật và các tệp đã tải lên để ngăn ngừa mất dữ liệu.
• Chuẩn bị cho thay đổi xác thực: Nếu bạn sử dụng tự động đăng nhập, hãy chuẩn bị cho các tài khoản hiện có chuyển sang đăng nhập bằng mật khẩu như mô tả trong hướng dẫn nâng cấp của Langflow.
• Sử dụng hình ảnh Docker chính xác: Chuyển sang hình ảnh langflowai/langflow:1.13.0 trong khi giữ nguyên các volume dữ liệu bền vững.
• Tuân thủ các bước khôi phục: Nếu bạn mất quyền truy cập sau khi nâng cấp, hãy sử dụng các bước khôi phục chính thức thay vì cài đặt lại, vì việc cài đặt lại có thể xóa các luồng (flows).
• Theo dõi các bản cập nhật: Hãy chú ý đến các thông báo bảo mật của IBM và danh mục của CISA để nắm bắt bất kỳ diễn biến mới nào liên quan đến các CVE này.