Worum es geht

IBM LangChain Desktop ist eine lokale Anwendung zur Entwicklung und Ausführung von LangChain-basierten Anwendungen. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM Langflow Desktop ausnutzen, um beliebigen Code auszuführen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder Cross-Site-Scripting-Angriffe durchzuführen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Code auszuführen
• Daten zu manipulieren
• vertrauliche Informationen offenzulegen oder Cross-Site-Scripting-Angriffe durchzuführen

Bin ich betroffen?

Betroffen sind laut BSI:

• IBM Langflow Desktop OSS <1.9.0
• IBM Langflow Desktop <1.9.0

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• IBM Langflow Desktop OSS 1.9.0
• IBM Langflow Desktop 1.9.0

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.