Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

CVE-2025-68664

plus petit que 1 minute de lecture

Mis à jour :

Injection de Sérialisation dans LangChain

Une faille de sécurité, identifiée comme CVE-2025-68664, a été découverte dans le framework LangChain, utilisé pour le développement d’applications basées sur des modèles de langage et d’agents. Les versions antérieures à 0.3.81 et 1.2.5 sont affectées.

Points Clés :

  • Nature de la vulnérabilité : Injection de sérialisation.
  • Composants affectés : Les fonctions dumps() et dumpd() au sein de LangChain.
  • Cause : Défaut d’échappement correct des dictionnaires contenant la clé 'lc' lors de la sérialisation.
  • Mécanisme d’attaque : La clé 'lc', utilisée en interne par LangChain pour identifier les objets sérialisés, est mal interprétée par le système lorsqu’elle est présente dans des données contrôlées par l’utilisateur. Le système la considère alors comme un objet LangChain légitime au lieu de données utilisateur ordinaires.

Vulnérabilités :

  • CVE : CVE-2025-68664
  • Impact potentiel : Exfiltration de variables d’environnement sensibles et possibilité d’exécution de code à distance.

Recommandations :

  • Mettre à jour LangChain vers les versions 0.3.81 ou 1.2.5 ou ultérieures pour corriger la vulnérabilité.

Source

Vous pourriez aimer