Oliver Peters / 123rf.com
Langflow ist ein Open-Source-Tool zur Entwicklung und Verwaltung von Anwendungen mit Künstlicher Intelligenz. Es ermöglicht Nutzern, sogenannte KI-Workflows visuell zu erstellen und verschiedene Modelle sowie Datenquellen miteinander zu verbinden.
Derzeit wird eine Sicherheitslücke in Langflow aktiv von Angreifern ausgenutzt. Über diese Schwachstelle können Schadprogramme auf betroffene Systeme eingeschleust und ausgeführt werden, was im schlimmsten Fall zur vollständigen Kontrolle durch Unbefugte führen kann. Besonders kritisch ist, dass die Authentifizierung fehlerhaft funktioniert. Dadurch akzeptiert ein öffentlich erreichbarer Build-Endpunkt manipulierten Python-Code, ohne zu prüfen, wer die Anfrage stellt. Dieser Code wird anschließend direkt ausgeführt, ohne dass er in einer geschützten Umgebung (Sandbox) isoliert wird. Das bedeutet, dass der Schadcode uneingeschränkten Zugriff auf das betroffene System erhalten kann.
