„`html
Zusammenfassung
IBM Langflow OSS in den Versionen 1.0.0 bis 1.9.1 weist eine Sicherheitslücke auf, die es authentifizierten Benutzern ermöglicht, sensitive Informationen zu lesen oder zu manipulieren. Die Schwachstelle basiert auf unsicheren direkten Objektreferenzen (IDOR), die eine Authentifizierungsumgehung ermöglichen. Mit einem CVSS-Score von 7.5 wird diese Lücke als hochgradig kritisch eingestuft.
Betroffene Systeme
Die Schwachstelle betrifft IBM Langflow Open Source Software (OSS) in folgenden Versionen:
- Version 1.0.0 bis 1.9.1 (alle Patch-Releases)
- Alle Bereitstellungsszenarien (On-Premise, Cloud-Instanzen)
- Systeme mit aktivierter Authentifizierung
Technische Details
Die Vulnerabilität resultiert aus mangelhafter Zugriffskontrolle bei der Verarbeitung von Objektreferenzen. Angreifer können durch Manipulation von URL-Parametern oder API-Request-Parametern auf Ressourcen zugreifen, auf die sie nicht berechtigt sind. Die IDOR-Schwachstelle ermöglicht:
- Unbefugtes Auslesen von Workflow-Konfigurationen
- Manipulation von Datenpipelines
- Zugriff auf sensible Konfigurationsdaten
- Potenzielle Datenexfiltration
Der Angriffsvektor ist netzwerkbasiert und erfordert gültige Authentifizierungsdaten. Ein angemeldeter Benutzer mit minimalen Berechtigungen kann die Schwachstelle ausnutzen.
Empfohlene Massnahmen
- Sofortige Aktion: Überprüfung aller Langflow-Instanzen auf betroffene Versionen
- Zugriffskontrolle: Implementierung strikter Authorization-Checks für alle API-Endpoints
- Netzwerk-Segmentierung: Beschränkung des Zugriffs auf Langflow-Interfaces
- Monitoring: Überwachung verdächtiger Zugriffsmuster in Audit-Logs
- Update: Migration auf Version 1.9.2 oder höher nach Verfügbarkeit
Bewertung
CVSS 7.5 (High) kennzeichnet eine erhebliche Bedrohung mit hohem Exploitationsrisiko. Da kein Patch verfügbar ist, sollten compensating Controls implementiert werden. Regelmäßiges Monitoring und schnelle Patch-Implementierung nach Release sind kritisch.
„`