🔴 CVE-2026-7664: Critical Schwachstelle

„`html

Zusammenfassung

Eine kritische Sicherheitslücke (CVE-2026-7664) wurde in IBM Langflow OSS in den Versionen 1.0.0 bis 1.8.4 identifiziert. Die Schwachstelle ermöglicht unauthentifizierten Angreifern den Zugriff auf geschützte MCP-Projektressourcen und die Ausführung von MCP-Operationen. Die CVSS-Bewertung von 9.8 klassifiziert diese als kritische Bedrohung mit hohem Angriffsrisiko.

Betroffene Systeme

IBM Langflow OSS Versionen:

• 1.0.0 bis 1.8.4

Die Schwachstelle betrifft Installationen mit aktiviertem Streamable MCP Transport Endpoint ohne zusätzliche Netzwerk-Schutzmaßnahmen.

Technische Details

Die Sicherheitslücke liegt in der unzureichenden Autorisierungsprüfung des Streamable MCP-Transportendpunkts. Das System validiert die Authentifizierung nicht ordnungsgemäß vor dem Gewähren von Zugriff auf MCP-Projektressourcen. Dies ermöglicht es Angreifern aus dem Netzwerk, ohne gültige Anmeldedaten:

• Auf geschützte MCP-Projekte zuzugreifen
• MCP-Operationen auszuführen
• Potenziell sensible Daten abzurufen oder zu manipulieren

Der Angriffsvektor ist netzwerkbasiert, erfordert keine Authentifizierung und kann remote exploitet werden.

Empfohlene Massnahmen

• Sofortig: Upgrade auf eine korrigierte Version durchführen (> 1.8.4)
• Streamable MCP Transport Endpoint deaktivieren, falls nicht benötigt
• Netzwerk-Level Zugriffsbeschränkungen implementieren (Firewall-Regeln)
• Langflow-Instanzen hinter WAF/Reverse Proxy platzieren
• Zugriffsprotokollierung und Monitoring aktivieren
• Sicherheits-Patches zeitnah einspielen

Bewertung

CVSS Score: 9.8 (Kritisch)

Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Der fehlende Patch verschärft die Situation erheblich. Betroffene Organisationen sollten umgehend Mitigationsmaßnahmen implementieren und den Patch-Release abwarten.

„`