Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Exploit Critical Langflow and Rails Flaws in Credential-Probing and C2 Activity

1 minute de lecture

Mis à jour :

Exploitation active de vulnérabilités critiques dans Langflow et Ruby on Rails

Des attaquants exploitent activement deux failles critiques pour mener des opérations de reconnaissance, voler des identifiants et établir des accès distants (C2). Les infrastructures liées à l’IA et aux outils de développement sont particulièrement ciblées.

Vulnérabilités majeures :

  • CVE-2026-0768 (Score CVSS 9.8) : Défaut de validation des entrées utilisateur dans Langflow, permettant l’exécution de code arbitraire avec les privilèges root.
  • CVE-2026-66066 (Score CVSS 9.5, “KindaRails2Shell”) : Vulnérabilité dans Ruby on Rails (Active Storage/libvips). Elle permet à un attaquant non authentifié de lire des fichiers arbitraires, d’extraire des secrets (clés API, bases de données, variables d’environnement) et d’aboutir à une exécution de code à distance.

Points clés :

  • Tactiques : Les attaquants ciblent les variables d’environnement sensibles (AWS, OpenAI), les fichiers de configuration SSH et l’historique bash.
  • Propagation : Des milliers d’instances vulnérables ont été identifiées mondialement. Les activités incluent également le déploiement de mineurs de cryptomonnaies et de proxys.
  • Limites du correctif : Sur Ruby on Rails, le correctif actuel empêche la lecture de fichiers via libvips, mais ne neutralise pas complètement la désérialisation Marshal, rendant l’exécution de code toujours possible sous certaines conditions.

Recommandations :

  • Mise à jour : Appliquer immédiatement les correctifs de sécurité fournis par les éditeurs pour Langflow et Ruby on Rails.
  • Sécurisation Active Storage : Si vous utilisez libvips dans Rails, validez rigoureusement les fichiers uploadés avant tout traitement et restreignez l’accès aux utilisateurs de confiance.
  • Surveillance : Surveiller les comportements anormaux, notamment la désactivation d’outils d’audit (auditd) et les requêtes suspectes ciblant les secrets système.
  • Gestion des secrets : Rotation immédiate des clés API, secrets de base de données et jetons cloud si une instance a été potentiellement exposée.

Source

Vous pourriez aimer