30秒で判断
- 対応すべき人: IBM Langflow OSS（LLMアプリケーション構築ツール）を1.0.0～1.12.2のバージョンで、複数ユーザーにフロー作成権限を付与して運用している管理者
- 対応不要な人: IBM Langflow OSSを使用していない、またはフロー作成権限を信頼できる単一の管理者のみに限定している環境
- 確認コマンド:
pip show langflowまたは管理画面のバージョン表示で現在のバージョンを確認（1.12.2以前かどうか）
概要
CVE-2026-97677は、IBM Langflow OSSにおけるパストラバーサル（CWE-22）の脆弱性です。認証済みの「フロー作者」権限を持つユーザーが、サービスアカウントが書き込み可能な任意のディレクトリに、攻撃者が制御するファイル内容を書き込むことができ、本来のローカルファイルアクセス分離の保護機構を回避できます。
さらに、不正なオンディスクインデックスを経由することで、設定ファイル・シークレット・アプリケーションのデータディレクトリ下に格納されたデータベースファイルなど、サービスプロセスがアクセス可能な任意のファイルの内容を読み取ることも可能とされています。悪用には「フロー作成権限を持つ認証済みユーザー」であることが前提です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.1 (High) |
| CVSSバージョン | 3.1 |
| 深刻度 | High |
| 攻撃元 | ネットワーク |
| 認証要否 | 必要（フロー作成権限を持つユーザー） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Langflow OSS | IBM | 1.0.0 ～ 1.12.2 |
修正バージョンと回避策
IBMのサポートページで本脆弱性の情報が公開されています。対象バージョンを使用している場合は、サポートページの案内に従い修正版への更新を推奨します。
アップデートが難しい場合は、フロー作成権限を信頼できるユーザーのみに限定し、サービスアカウントのファイルシステム権限を必要最小限に絞ることが緩和策となります。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。