CISA-Warnung: Kritische Schwachstelle in Langflow wird aktiv ausgenutzt
KI-generiert mit Sora
Die US-Cybersicherheitsbehörde CISA warnt vor einer aktiv ausgenutzten Sicherheitslücke in Langflow, einem Open-Source-Framework zum visuellen Erstellen von KI-Workflows. Die Schwachstelle ist unter der Kennung CVE-2026-33017 registriert. CVE-Kennungen sind das internationale Nummernsystem für bekannte Sicherheitslücken. Laut der Sicherheitsfirma Sysdig bauten Angreifer innerhalb von 20 Stunden nach Veröffentlichung des Advisories funktionsfähige Exploits.
Was ist Langflow und warum ist es ein Ziel?
Langflow ist eine Low-Code-Plattform zum Bau von KI-Anwendungen. Entwickler nutzen Langflow, um sogenannte RAG-Pipelines visuell zusammenzusetzen. RAG steht für Retrieval-Augmented Generation. Das Verfahren sorgt dafür, dass ein Sprachmodell vor der Antwort gezielt Informationen aus externen Datenquellen abruft.
Neben RAG-Pipelines entstehen auf der Plattform auch Chatbots und Agenten-Ketten auf Basis von LangChain. Das Framework verbindet Sprachmodelle mit Datenbanken, APIs und internen Diensten.
Genau diese Rolle als Brücke zwischen KI-Modellen und Unternehmensinfrastruktur macht Langflow zu einem attraktiven Ziel. Ein kompromittiertes System kann als Einstiegspunkt in das gesamte Netzwerk dienen.
AnzeigeWie funktioniert der Angriff?
Die Schwachstelle CVE-2026-33017 hat laut dem offiziellen Langflow-Advisory einen CVSS-Score von 9,3. JFrog bewertet die Lücke nach CVSS v3.1 mit 9,8. CVSS ist das Standardsystem zur Bewertung der Schwere von Sicherheitslücken auf einer Skala von 0 bis 10.
Die Lücke erlaubt die Ausführung beliebigen Python-Codes ohne Authentifizierung. Der Angriff erfolgt über den Endpunkt /api/v1/build_public_tmp/{flow_id}/flow, der für öffentliche Workflows gedacht ist. Ein einziger HTTP-Request reicht aus.
Wenn die Standardeinstellung AUTO_LOGIN=true aktiv ist, kann ein Angreifer ohne jede Anmeldung einen öffentlichen Workflow erstellen und darüber Code einschleusen. Laut der Sicherheitsfirma Sysdig gab es zum Zeitpunkt der ersten Angriffe keinen öffentlichen Proof-of-Concept-Exploit. Angreifer bauten ihre Exploits direkt aus der Beschreibung des Advisories.
Die beobachteten Angriffe reichten von automatisiertem Scannen bis zu gezieltem Auslesen von Zugangsdaten, Umgebungsvariablen und Konfigurationsdateien.
Was sollten Langflow-Nutzer jetzt tun?
Laut dem offiziellen Advisory betrifft die Schwachstelle alle Langflow-Versionen bis einschließlich 1.8.1. Sicherheitsforscher von JFrog gaben jedoch an, dass auch die Version 1.8.2 noch verwundbar ist. Erst das Update auf Version 1.9.0 behebt das Problem. Die CISA hat US-Bundesbehörden eine Frist bis zum 8. April gesetzt und empfiehlt allen Organisationen, sofort zu handeln.
Wer nicht sofort updaten kann, sollte den betroffenen Endpunkt deaktivieren. Alternativ lässt sich der Zugang zu Langflow per Firewall und Reverse Proxy mit Authentifizierung einschränken. Langflow sollte nicht direkt aus dem Internet erreichbar sein. Sysdig empfiehlt zusätzlich, API-Keys, Datenbank-Passwörter und Cloudsecrets zu rotieren, wenn verdächtige Aktivitäten erkannt werden.
Der Fall reiht sich in einen größeren Trend von Angriffen auf KI-Infrastruktur ein. Erst kürzlich wurde bekannt, wie eine Prompt Injection in einer GitHub-Issue den KI-Assistenten Cline kapern konnte. Bei einer Prompt Injection schleusen Angreifer versteckte Anweisungen in Texte ein, die ein KI-Modell verarbeitet. KI-Workflow-Tools laufen häufig mit breitem API-Zugang und werden außerhalb regulärer Sicherheitsprozesse betrieben.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
