CISA АҚШ мемлекеттік органдарына Langflow осалдығын жоюды міндеттеді
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
АҚШ Киберқауіпсіздік және инфрақұрылымды қорғау агенттігі (CISA) сейсенбіде Langflow-тағы CVE-2026-0770 критикалық осалдығын белгілі эксплуатацияланатын осалдықтар каталогына (KEV) қосты. Бұл федералды азаматтық ведомстволарға (FCEB) мәселені BOD 26-04 директивасына сәйкес жұмаға дейін жоюды міндеттейді. 27 маусымнан бастап 64 бірегей IP мекенжайынан 220-дан астам эксплуатация әрекеті тіркелді.
Осалдық
CVE-2026-0770 осалдығы рұқсатсыз шабуылдаушыларға Langflow-тың validate соңғы нүктесіндегі exec_globals параметрі арқылы root құқықтарымен кодты орындауға мүмкіндік береді. Trend Micro зерттеушілері мәселені анықтап, хабарлады, оны сенімсіз ортадан ресурсты қосу деп сипаттады. Критикалық деңгей шабуылдың төмен күрделілігіне және root деңгейіндегі әсерге байланысты.
Эксплуатация
KEVIntel эксплуатацияны табиғи ортада алғаш рет 27 маусымда тіркеп, 64 бірегей IP мекенжайынан 220-дан астам әрекетті анықтады. Негізін қалаушы Райан Дьюхерст зиянды жүктемелерге командаларды орындау тексерістері, жүйені барлау, екінші кезең скрипттерін жүктеу әрекеттері, қоршаған орта айнымалыларына, бұлтты метадеректерге және AWS тіркелгі деректеріне қол жеткізу кіргенін хабарлады. Дьюхерст ұйымдарды /api/v1/validate/code мекенжайына тарихи сұрауларды тексеруге және бұзылған тіркелгі деректерін ауыстыруға шақырды.
CISA реакциясы
CISA осалдықты сейсенбіде KEV каталогына қосып, FCEB ведомстволарына оны BOD 26-04 сәйкес жұмаға дейін жоюды міндеттеді. Агенттік мұндай осалдықтар жиі шабуыл векторы болып табылатынын ескертті. Бұған дейін CISA Langflow-тың басқа да осалдықтарын атап өткен: CVE-2025-3248 (JadePuffer тобы ransomware шабуылдарында қолданады), CVE-2026-33017 және CVE-2026-55255.
Бұдан әрі
FCEB ведомстволары түзетулерді 2026 жылғы 24 шілдедегі жұмаға дейін аяқтауы керек. Мемлекеттік емес ұйымдарға ұқсас талаптар қойыла ма және KEV каталогында Langflow-тың жаңа осалдықтары пайда бола ма, белгісіз.
1 дереккөз
CISA АҚШ мемлекеттік органдарына Langflow осалдығын жоюды міндеттеді
