요약
| CVE | CVE-2026-33017 (GHSA-vwmf-pq79-vjvx) |
|---|---|
| 제품 | Langflow (PyPI 패키지 langflow) |
| 유형 | 인증 누락(CWE-306), 코드 인젝션(CWE-94) |
| 심각도 | CVSS 3.1 기준 9.8 |
| 영향 버전 | 1.8.2 이하 (GitHub 보안 권고 기준) |
| 조치 버전 | 1.9.0 이상 |
| 악용 여부 | CISA KEV 등재 2026.3.25, 미국 연방기관 조치 기한 2026.4.8 |
무엇이 문제인가
Langflow는 LLM 애플리케이션과 에이전트 흐름을 화면에서 조립하는 오픈소스 도구입니다. 공개(public) 플로우는 로그인 없이 실행할 수 있도록 POST /api/v1/build_public_tmp/{flow_id}/flow 엔드포인트를 둡니다. 이 요청에 선택 인자 data를 넣으면 서버는 저장된 플로우 대신 요청자가 보낸 플로우 정의를 씁니다. 노드 정의에는 파이썬 코드가 들어갈 수 있고, 그 코드가 샌드박스 없이 exec()로 실행됩니다.
2025년의 CVE-2025-3248을 기억하는 분도 있을 겁니다. 그때는 /api/v1/validate/code에 인증이 빠져 있었고 1.3.0에서 인증을 붙여 고쳤습니다. 이번 건은 같은 종류의 문제가 다른 엔드포인트에 남아 있던 경우입니다. GitHub 권고문은 AUTO_LOGIN이 기본값(true)이면 공격에 필요한 전제 조건도 인증 없이 갖출 수 있다고 적었습니다.
실제 공격 양상
Sysdig는 권고문 공개(2026년 3월 17일 UTC) 후 약 20시간 만에 첫 악용 시도를 관측했다고 밝혔습니다. 처음에는 id 실행 결과를 외부로 보내 보는 스캐너성 요청이 많았고, 이어서 env로 환경변수를 덤프하거나 /app 아래의 .env, .db 파일을 찾는 행위가 나왔습니다. Langflow 서버의 환경변수에는 LLM API 키와 데이터베이스 접속 정보가 들어 있는 경우가 많아서, 업데이트만 하고 끝내면 안 됩니다.
Sysdig가 공개한 지표 중 네트워크 주소는 아래와 같습니다. 2026년 3월 관측 기준이라 지금은 쓰이지 않을 수 있으니 과거 로그 검색용으로 쓰세요.
173.212.205.251:8443 2단계 스크립트 내려받기 143.110.183.86:8080 실행 결과 수신
조치
- 1.9.0 이상으로 업데이트합니다. 현재 버전은
pip show langflow나 컨테이너 이미지 태그로 확인할 수 있습니다. - 업데이트 전까지 Langflow를 인터넷에 직접 노출하지 말고, 리버스 프록시에서
/api/v1/build_public_tmp/경로를 막습니다. 공개 플로우를 쓰지 않는다면 이 경로는 필요 없습니다. - 3월 17일 이후 외부에 노출돼 있었다면 침해를 가정합니다. 서버 환경변수와
.env에 있던 LLM API 키, DB 비밀번호, 클라우드 자격증명을 모두 교체하세요. - 운영 환경에서는
LANGFLOW_AUTO_LOGIN을 false로 두고 계정 인증을 켭니다.
흔적 확인
# 예시: 프록시·웹 서버 로그에서 해당 경로 요청 찾기 grep -E 'POST /api/v1/build_public_tmp/[^ ]+/flow' /var/log/nginx/access.log* # 예시: Langflow 컨테이너 안에서 셸이나 curl 같은 자식 프로세스가 있는지 보기 ps -ef --forest | grep -B1 -A4 langflow
공개 플로우를 정상적으로 쓰는 환경이라면 경로만으로는 공격과 구분이 안 됩니다. 요청 본문을 남기는 로그가 있다면 data 필드가 들어간 요청을 찾고, 없다면 같은 시각대의 외부 접속과 프로세스 실행 기록을 함께 봅니다.
참고 자료
- GHSA-vwmf-pq79-vjvx, Unauthenticated RCE via public flow build endpoint, Langflow GitHub 보안 권고
- CVE-2026-33017, NIST NVD
- CISA Adds One Known Exploited Vulnerability to Catalog, CISA, 2026.3.25
- CVE-2026-33017: How attackers compromised Langflow AI pipelines in 20 hours, Sysdig
- Critical Langflow Flaw Added to CISA KEV List (CVE-2025-3248), The Hacker News, 2025.5
