Befehlsinjektion über MCP STDIO: Behebung in Langflow und Betroffenheit von Fay

Worum es geht

Stand: 25. Oktober 2026. Die Tabelle betroffener Pakete im Langflow-Sicherheitshinweis und den CVE-Eintrag zu Fay auf aktualisierte Angaben zur Behebung prüfen. Der am 28. September 2026 veröffentlichte Langflow-Sicherheitshinweis beschreibt CVE-2026-105697: Eine nicht vertrauenswürdige MCP-STDIO-Konfiguration kann dazu führen, dass Betriebssystembefehle mit den Berechtigungen der Anwendung ausgeführt werden. Die Startkonfiguration einschliesslich ihrer Argumente und Umgebung wie ausführbaren Code behandeln.

Der Hersteller führt langflow >= 1.1.2, < 1.10.3, langflow-base >= 0.1.2, < 0.10.3 und lfx < 1.10.3 als betroffen auf. Die jeweiligen bereinigten Versionen sind 1.10.3, 0.10.3 und 1.10.3. Die frühere Änderung in Langflow 1.9.0 validierte die Einstellungs-API; die vollständige Behebung validiert zusätzlich Konfigurationen aus Flows unmittelbar vor dem Erstellen des Prozesses und entfernt den Shell-Wrapper. Sicherheitshinweis des Herstellers.

CVE-2026-30618 beschreibt unabhängig davon eine unsichere MCP-STDIO-Verwaltung in Fay 4.3.1. Der geprüfte Eintrag nennt weder eine bereinigte Version noch einen weiter gefassten betroffenen Versionsbereich. Eintrag des CVE Program.

Warum es wichtig ist

CWE-78 umfasst sowohl das unsichere Zusammenstellen von Befehlsargumenten als auch die Auswahl des ausführbaren Programms selbst durch nicht vertrauenswürdige Eingaben. Das Entfernen der Shell-Auswertung löst nur einen Teil dieses Problems. Ein Interpreter oder Paketstarter kann weiterhin Code ausführen, den sein Aufrufer vorgibt. Ein Prozess sollte nur über die Dateisystem- und Netzwerkberechtigungen verfügen, die seine zugewiesene Aufgabe benötigt. CWE-78.

Der Langflow-Sicherheitshinweis warnt davor, dass Code bereits vor dem Scheitern einer MCP-Verbindung ausgeführt werden kann. Ein Startfehler belegt daher nicht, dass nichts ausgeführt wurde. Unerwartete Prozessstarts oder Konfigurationsänderungen als Hinweise auf eine mögliche Exposition untersuchen; diese Anzeichen sind keine eindeutigen Indikatoren für diese CVE.

So wird es angewendet

• Die bereitgestellte Umgebung inventarisieren. In einer weiterhin vertrauenswürdigen Umgebung python3 -m pip show langflow langflow-base lfx ausführen; die gemeldeten Pakete mit dem Sicherheitshinweis vergleichen, einschliesslich der Abhängigkeiten im bereitgestellten Image. Dieser Befehl zeigt Metadaten installierter Pakete an. pip show.
• Für Langflow eine unterstützte Version mit der vollständigen Fehlerbehebung bereitstellen. Die Paketbestandsaufnahme wiederholen und gespeicherte MCP- und Flow-Konfigurationen prüfen, bevor sie erneut aktiviert werden.
• Für Fay den bereitgestellten Checkout mit den Release-Aufzeichnungen abgleichen und den Verwaltungszugriff bis zur Bestätigung einer Behebung auf vertrauenswürdige Administratoren beschränken. Dies als Eindämmungsmassnahme des Betreibers behandeln, nicht als Nachweis einer Fehlerbehebung des Herstellers.
• Die Berechtigung zum Installieren oder Ändern eines lokalen Servers ausdrücklich festlegen. Vor der Freigabe das vollständige ausführbare Programm und seine Argumente anzeigen. Die genehmigte Definition dokumentieren und bei Änderungen eine Prüfung verlangen. Die MCP-Sicherheitsanleitung verlangt eine Zustimmung vor der Ausführung und eingeschränkte Berechtigungen für lokale Server. MCP-Sicherheitsanleitung.
• Beim Erstellen des Prozesses eine Positivliste genehmigter Programme und zulässiger Argumentformen durchsetzen. Dort auch Überschreibungen der Umgebungsvariablen validieren. Dieselbe Richtlinie auf Einstellungen, importierte Flows und andere Konfigurationsquellen anwenden; eine Prüfung in einer einzelnen Benutzeroberfläche reicht nicht aus.
• Als Vorsichtsmassnahme bei der Vorfallbearbeitung ein Deployment mit ungeklärten Kindprozessen isolieren, relevante Protokolle sichern, die für sein Konto verfügbaren Zugangsdaten prüfen und bei nachgewiesener nicht autorisierter Ausführung aus vertrauenswürdigen Quellen neu aufbauen. Offengelegte Zugangsdaten über ihre Aussteller widerrufen.

Stolpersteine

Eine Positivliste für Befehle muss einschränken, was ein zugelassenes Programm tun darf. Die Freigabe eines universellen Interpreters mit beliebigen Argumenten bietet kaum eine Beschränkung. Jeder Aufrufer benötigt die Berechtigung, Prozesse zu starten; eine Authentifizierung allein reicht nicht aus. Autorisierung, Validierung beim Start und Beschränkung durch das Betriebssystem als getrennte Prüfungen beibehalten.