MCP STDIOのコマンドインジェクション：Langflowの修正とFayの影響

概要

2026年10月25日時点の情報である。対処情報の更新について、Langflowアドバイザリの影響を受けるパッケージ一覧とFayのCVE記録を再確認すること。2026年9月28日公開のLangflowアドバイザリはCVE-2026-105697を示している。信頼できないMCP STDIO設定によって、アプリケーションの権限でOSコマンドが実行されるおそれがある。起動設定は、引数と環境を含め、実行可能なコードとして扱う。

ベンダーは、langflow >= 1.1.2, < 1.10.3、langflow-base >= 0.1.2, < 0.10.3、lfx < 1.10.3を影響範囲としている。それぞれの修正済みバージョンは1.10.3、0.10.3、1.10.3である。先行するLangflow 1.9.0の変更では設定APIで検証していたが、完全な修正ではフローから渡される設定もプロセス生成の直前に検証し、シェルラッパーを削除している。ベンダーのアドバイザリ。

別の脆弱性であるCVE-2026-30618は、Fay 4.3.1での安全でないMCP STDIO管理を指摘している。確認した記録には、修正済みバージョンも、それより広い影響範囲も示されていない。CVE Programの記録。

重要な理由

CWE-78には、コマンド引数の安全でない組み立てと、信頼できない入力による実行ファイル自体の選択の両方が含まれる。シェルによる解釈を取り除いても、解消できるのは問題の一部だけである。インタープリターやパッケージランチャーは、依然として呼び出し元から渡されたコードを実行できる。プロセスのファイルシステム権限とネットワーク権限は、割り当てられた作業に必要な範囲にとどめるべきである。CWE-78。

Langflowのアドバイザリは、MCP接続が失敗する前にコードが実行され得ると警告している。したがって、起動エラーだけでは何も実行されなかったとは判断できない。想定外のプロセス生成や設定変更は、被害が発生した可能性を示すものとして調査する。ただし、これらはこのCVEに固有の指標ではない。

適用方法

• 導入環境を一覧化する。まだ信頼できる環境でpython3 -m pip show langflow langflow-base lfxを実行し、表示されたパッケージをアドバイザリと照合する。導入済みイメージ内の依存関係も対象に含める。このコマンドはインストール済みパッケージのメタデータを表示する。pip show。
• Langflowでは、完全な修正を含むサポート対象リリースを導入する。パッケージの一覧確認を再度行い、保存済みのMCP設定とフロー設定を確認してから再び有効にする。
• Fayでは、導入済みのチェックアウトをリリース記録と照合し、対処の完了が確認されるまでは管理アクセスを信頼できる管理者に制限する。これは運用者による封じ込めであり、ベンダーが修正した証拠とは扱わない。
• ローカルサーバーのインストールや変更の許可を明示する。承認前に実行ファイルと引数を省略せず表示する。承認された定義を記録し、変更時にはレビューを必須とする。MCPのセキュリティガイダンスは、実行前の同意とローカルサーバーの権限制限を求めている。MCPのセキュリティガイダンス。
• 承認済みプログラムと許可する引数形式の許可リストを、プロセス生成時に強制する。環境設定の上書きもその場で検証する。設定、インポートしたフロー、その他の設定生成元に同じポリシーを適用する。1つのユーザーインターフェースで確認するだけでは不十分である。
• インシデント対応上の予防措置として、説明のつかない子プロセスがある環境を隔離し、関連ログを保全して、そのアカウントから利用できる認証情報を確認する。不正な実行が確認された場合は、信頼できる構成要素から再構築する。漏えいした認証情報は発行元で失効させる。

落とし穴

コマンドの許可リストは、許可したプログラムが実行できる内容も制限しなければならない。任意の引数を渡せる汎用インタープリターを承認しても、制限としての効果は乏しい。すべての呼び出し元にプロセス起動の認可が必要であり、認証済みであるだけでは不十分である。認可、起動時の検証、OSによる権限制限は別々に確認する。