Injection de commandes MCP STDIO : correction de Langflow et exposition de Fay

Ce que c'est

État au 25 octobre 2026. Consulter à nouveau le tableau des paquets affectés de l’avis Langflow et la fiche CVE de Fay pour connaître les évolutions de la remédiation. L’avis Langflow publié le 28 septembre 2026 décrit CVE-2026-105697 : une configuration MCP STDIO non fiable peut entraîner l’exécution de commandes du système d’exploitation avec les privilèges de l’application. Traiter la configuration de lancement comme du code exécutable, y compris ses arguments et son environnement.

L’éditeur indique que langflow >= 1.1.2, < 1.10.3, langflow-base >= 0.1.2, < 0.10.3 et lfx < 1.10.3 sont affectés. Les versions corrigées respectives sont 1.10.3, 0.10.3 et 1.10.3. La modification antérieure de Langflow 1.9.0 validait l’API de configuration ; le correctif complet valide aussi la configuration fournie par les flux immédiatement avant la création du processus et supprime la couche d’exécution via le shell. Avis de l’éditeur.

CVE-2026-30618 décrit séparément une gestion non sécurisée de MCP STDIO dans Fay 4.3.1. La fiche consultée ne donne ni version corrigée ni plage plus large de versions affectées. Fiche du programme CVE.

Pourquoi c'est important

CWE-78 englobe à la fois la construction non sécurisée des arguments d’une commande et la possibilité, pour une entrée non fiable, de choisir l’exécutable lui-même. Supprimer l’interprétation par le shell ne résout qu’une partie du problème. Un interpréteur ou un lanceur de paquets peut toujours exécuter le code fourni par son appelant. Les droits d’un processus sur le système de fichiers et le réseau ne devraient pas dépasser les besoins de sa tâche. CWE-78.

L’avis Langflow avertit que l’exécution peut précéder l’échec d’une connexion MCP. Une erreur au démarrage ne prouve donc pas que rien n’a été exécuté. Examiner les créations inattendues de processus ou les modifications de configuration comme des signes d’exposition possible ; ces signes ne sont pas des indicateurs propres à cette CVE.

Comment l'appliquer

• Inventorier l’environnement déployé. Dans un environnement encore considéré comme fiable, exécuter python3 -m pip show langflow langflow-base lfx ; comparer les paquets indiqués avec l’avis, y compris les dépendances présentes dans l’image déployée. Cette commande affiche les métadonnées des paquets installés. pip show.
• Pour Langflow, déployer une version prise en charge contenant le correctif complet. Refaire l’inventaire des paquets et examiner les configurations MCP et de flux enregistrées avant de les réactiver.
• Pour Fay, vérifier la copie du dépôt déployée par rapport aux informations de version et restreindre l’accès d’administration aux administrateurs de confiance en attendant une remédiation confirmée. Considérer cette mesure comme un confinement opérationnel, et non comme la preuve d’un correctif de l’éditeur.
• Rendre explicite l’autorisation d’installer ou de modifier un serveur local. Afficher l’exécutable complet et ses arguments avant l’approbation. Consigner la définition approuvée et exiger un examen lorsqu’elle change. Les consignes de sécurité MCP prévoient un consentement avant l’exécution et des privilèges restreints pour les serveurs locaux. Consignes de sécurité MCP.
• Imposer, à la création du processus, une liste de programmes approuvés et de formes d’arguments autorisées. Y valider également les valeurs redéfinies pour les variables d’environnement. Appliquer la même politique aux paramètres, aux flux importés et aux autres sources de configuration ; une vérification dans une seule interface utilisateur ne suffit pas.
• Par précaution dans le cadre de la réponse aux incidents, isoler un déploiement présentant des processus enfants inexpliqués, préserver les journaux pertinents, examiner les identifiants accessibles à son compte et reconstruire à partir d’éléments de confiance si une exécution non autorisée est établie. Révoquer les identifiants exposés auprès de leurs émetteurs.

Pièges

Une liste de commandes autorisées doit limiter les actions possibles de chaque programme admis. Autoriser un interpréteur généraliste avec des arguments arbitraires impose peu de restrictions. Chaque appelant doit être autorisé à lancer des processus ; l’authentification ne suffit pas. Maintenir des contrôles distincts pour l’autorisation, la validation du lancement et le confinement par le système d’exploitation.