Инъекция команд через MCP STDIO: устранение уязвимости в Langflow и подверженность Fay

Что это

Состояние на 25 октября 2026 года. Заново проверьте таблицу затронутых пакетов в бюллетене Langflow и запись CVE для Fay на предмет новых сведений об исправлении. Бюллетень Langflow, опубликованный 28 сентября 2026 года, описывает CVE-2026-105697: недоверенная конфигурация MCP STDIO может привести к выполнению команд операционной системы с привилегиями приложения. Считайте конфигурацию запуска исполняемым кодом, включая её аргументы и окружение.

Производитель указывает как затронутые langflow >= 1.1.2, < 1.10.3, langflow-base >= 0.1.2, < 0.10.3 и lfx < 1.10.3. Исправленные версии соответственно — 1.10.3, 0.10.3 и 1.10.3. Более раннее изменение в Langflow 1.9.0 добавило проверку в API настроек; полное исправление также проверяет конфигурацию из потоков непосредственно перед созданием процесса и убирает оболочку запуска через shell. Бюллетень производителя.

Отдельная уязвимость CVE-2026-30618 описывает небезопасное управление MCP STDIO в Fay 4.3.1. В рассмотренной записи не указаны ни исправленная версия, ни более широкий диапазон затронутых версий. Запись CVE Program.

Почему это важно

CWE-78 охватывает как небезопасное формирование аргументов команд, так и возможность выбора самого исполняемого файла через недоверенные входные данные. Отказ от интерпретации оболочкой решает лишь часть проблемы. Интерпретатор или средство запуска пакетов по-прежнему может выполнить код, переданный вызывающей стороной. Полномочия процесса на доступ к файловой системе и сети не должны превышать необходимое для его задачи. CWE-78.

Бюллетень Langflow предупреждает, что код может выполниться ещё до того, как подключение MCP завершится ошибкой. Поэтому ошибка запуска не доказывает, что ничего не было выполнено. Расследуйте неожиданное создание процессов или изменения конфигурации как возможные признаки воздействия; эти признаки не являются уникальными индикаторами данной CVE.

Как применять

• Составьте перечень компонентов развёрнутого окружения. В окружении, которому ещё можно доверять, выполните python3 -m pip show langflow langflow-base lfx; сопоставьте найденные пакеты с бюллетенем, включая зависимости внутри развёрнутого образа. Эта команда выводит метаданные установленных пакетов. pip show.
• Для Langflow разверните поддерживаемый выпуск с полным исправлением. Повторно проверьте перечень пакетов и просмотрите сохранённые конфигурации MCP и потоков, прежде чем снова их включать.
• Для Fay сверьте развёрнутую рабочую копию с записями о выпусках и до подтверждённого устранения уязвимости ограничьте доступ к управлению доверенными администраторами. Рассматривайте это как меру сдерживания со стороны оператора, а не как доказательство исправления производителем.
• Явно требуйте разрешения на установку или изменение локального сервера. Перед одобрением показывайте полный путь к исполняемому файлу и аргументы. Фиксируйте одобренное определение и требуйте проверки при его изменении. Руководство MCP по безопасности требует согласия перед выполнением и ограничения привилегий локального сервера. Руководство MCP по безопасности.
• В момент создания процесса применяйте список одобренных программ и допустимых форм аргументов. Там же проверяйте переопределения переменных окружения. Применяйте одну и ту же политику к настройкам, импортируемым потокам и другим источникам конфигурации; проверки в одном пользовательском интерфейсе недостаточно.
• В качестве меры реагирования на инцидент изолируйте развёрнутую систему с необъяснёнными дочерними процессами, сохраните соответствующие журналы, проверьте учётные данные, доступные её учётной записи, и, если несанкционированное выполнение подтверждено, пересоздайте систему из доверенных исходных материалов. Отзовите раскрытые учётные данные через выдавшие их системы.

Подводные камни

Список разрешённых команд должен ограничивать действия разрешённой программы. Одобрение универсального интерпретатора с произвольными аргументами почти ничего не ограничивает. Каждой вызывающей стороне нужны полномочия на запуск процессов; одной аутентификации недостаточно. Проверяйте отдельно авторизацию, допустимость параметров запуска и ограничения со стороны операционной системы.