[분석가] 분석 — CVE-2026-55255

• 심각도 high · CVSS 8.4 · EPSS 0.00467 · 악용난이도 easy · KEV

1. 트리거 조건: 인증된 사용자가 HTTP 요청 시 본인의 권한이 없는 타인의 flow ID를 직접 지정하여 /api/v1/responses 엔드포인트에 전달할 때 발생합니다. 이는 서버 측에서 요청자와 리소스 소유자 간의 권한 검증(Access Control)이 누락된 Insecure Direct Object Reference (IDOR) 결함입니다.
2. 공격 단계:
   • 정찰: 공격 대상이 되는 타 사용자의 flow ID를 수집합니다. (추정: API 응답이나 공개된 공유 링크 등을 통해 수집 가능)
   • 트리거: 유효한 인증 토큰을 사용하여 /api/v1/responses 엔드포인트로 요청을 전송하며, 파라미터에 탈취한 flow ID를 삽입합니다.
   • 실행 및 권한 획득: 서버가 소유권 검증 없이 해당 flow를 실행하여 결과값을 반환합니다.
   • 후속 피벗: 실행된 flow의 성격(예: 내부 API 호출, 데이터 처리)에 따라 추가적인 정보 유출이나 시스템 조작을 시도할 수 있습니다.
3. 공격 표면:
   • Endpoint: /api/v1/responses
   • Parameter: flow ID (Request Body 또는 Query String 내 포함)
   • Protocol: HTTP/HTTPS
4. CVSS 벡터 분석:
   • AV:N: 네트워크를 통해 원격 공격 가능.
   • AC:H: 타인의 특정 flow ID를 알아내야 하므로 복잡도가 높음.
   • PR:L: 낮은 수준의 인증(일반 계정)만으로 공격 시작 가능.
   • UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 AV:N/AC:H/PR:L/UI:N 벡터를 가지며, 네트워크를 통해 인증된 사용자(PR:L)라면 누구나 접근 가능한 /api/v1/responses 엔드포인트가 주요 공격 표면입니다. 공격자는 HTTP 요청 파라미터에 타인의 flow ID를 지정하는 Insecure Direct Object Reference(IDOR) 방식으로 권한 없는 워크플로우를 실행할 수 있습니다. 복잡도(AC:H)는 높게 책정되었으나, 이는 유효한 피해자의 flow ID를 식별해야 한다는 전제조건에 기인합니다. 하지만 해당 취약점은 이미 KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생에서 악용된 사례가 확인되었으므로 이론적 난이도와 무관하게 실질적인 위협으로 간주됩니다. EPSS 수치는 0.00467로 낮게 측정되나, KEV 등재 사실은 공격자가 이미 유효한 ID 식별 방법이나 자동화된 스캔 기법을 확보했을 가능성을 시사합니다. 따라서 인증 계정만 보유하고 있다면 타 사용자의 AI 에이전트 및 워크플로우를 임의 제어할 수 있어 악용 가능성이 매우 높습니다.

1. 로그 지표:
   • HTTP Access Log: /api/v1/responses 경로로의 요청 기록.
   • Auth Log: 요청을 보낸 계정(User ID)과 요청 내 포함된 flow ID의 소유자가 일치하지 않는 패턴.
2. 탐지 규칙 예시:
   • 정규식 (Request Path): \/api\/v1\/responses.*
   • SIEM 로직 (Pseudo-code):
     SELECT request_id FROM logs WHERE endpoint == "/api/v1/responses" AND request.user_id != resource.flow_owner_id
   • 탐지 패턴: 짧은 시간 내에 한 계정이 서로 다른 다수의 flow ID로 요청을 보내는 Brute-forcing 또는 Enumeration 행위 탐지.
3. 오탐 가능성 및 감소 방안: 정상적인 협업 기능이나 공유 설정으로 인해 타인의 flow를 호출하는 경우가 있을 수 있습니다. 따라서 해당 엔드포인트의 공식적인 '공유/권한 부여' 로그와 대조하여 권한 없는 접근만 필터링해야 합니다.

• 즉시(긴급 차단):
  • WAF 또는 API Gateway에서 /api/v1/responses 엔드포인트에 대한 비정상적인 요청 패턴(ID 열거 등)을 차단하는 Rate Limit 설정 및 모니터링 강화. (트레이드오프: 정상 사용자의 빈번한 호출 시 오차단 가능성 존재)
• 단기(완화):
  • 불필요한 외부 노출을 방지하기 위해 Langflow 인스턴스 전면에 VPN 또는 Zero Trust Access(ZTA)를 배치하여 인증된 내부 사용자만 접근하도록 제한. (트레이드오프: 외부 협업자의 접근 편의성 저하)
• 근본(해결):
  • Langflow 1.9.1 버전으로 즉시 업그레이드. 해당 버전에서 IDOR 취약점이 수정되었습니다. (트레이드오프: 업데이트 전 호환성 테스트 필요 및 일시적인 서비스 중단 발생)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00467 / 백분위 0.37242)과 KEV 등재 여부, 공격 난이도(easy)를 종합하여 우선순위를 결정하였습니다. 특히 CVSS 8.4의 높은 심각도와 실제 악용 가능성을 고려하여 규칙 기반으로 'Immediate(24시간 내)' 대응 우선순위를 부여하였습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=8.4 · KEV · EPSS=0.00467 · exploit=easy · in_scope=None