LangChain

LangChain ist ein Framework zum Erstellen von Agenten und LLM-gestützten Anwendungen. Vor den Versionen 0.3.81 und 1.2.5 besteht in den Funktionen dumps() und dumpd() eine Serialisierungs-Injektionsschwachstelle. Beim Serialisieren freier Dictionaries werden Wörterbücher mit einem lc-Schlüssel nicht maskiert; dieser Schlüssel markiert intern serialisierte Objekte. Enthalten benutzergesteuerte Daten diese Struktur, werden sie bei der Deserialisierung als legitimes LangChain-Objekt statt als reine Nutzerdaten behandelt. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Update auf Version 0.3.81 bzw. 1.2.5 einspielen.

In LangChain-ChatGLM-Webui (Commit ef829) bestehen unsichere Berechtigungen, über die Angreifer mittels einer präparierten Anfrage beliebige sensible Dateien einsehen und herunterladen können. CVSS-Basiswert: 9.8 (Kritisch).

Im RequestsToolkit der langchain-community-Bibliothek (langchain_community.agent_toolkits.openapi.toolkit.RequestsToolkit) von langchain-ai/langchain in Version 0.0.27 besteht eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Da das Toolkit Anfragen an entfernte Internetadressen nicht einschränkt, kann es auch lokale Adressen erreichen. Ein Angreifer könnte damit Portscans durchführen, auf lokale Dienste zugreifen, Instanz-Metadaten aus Cloud-Umgebungen (z. B. Azure, AWS) abrufen und mit Servern im lokalen Netzwerk interagieren. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 0.0.28.

Eine Schwachstelle in der Klasse GraphCypherQAChain von langchain-ai/langchainjs (Version 0.2.5 und alle Versionen mit dieser Klasse) ermöglicht Prompt-Injection, die zu SQL-Injection führt. Angreifer können dadurch Daten unbefugt manipulieren, exfiltrieren, durch Löschen aller Daten einen Denial of Service auslösen, die Mandantentrennung in Multi-Tenant-Umgebungen durchbrechen und die Integrität der Datenbank beeinträchtigen. Es lassen sich ohne Autorisierung Knoten und Beziehungen anlegen, ändern oder löschen sowie sensible Daten auslesen. CVSS-Basiswert: 9.8 (Kritisch).

In der Methode getFullPath von langchain-ai/langchainjs Version 0.2.5 besteht eine Path-Traversal-Schwachstelle. Sie erlaubt Angreifern, Dateien an beliebiger Stelle im Dateisystem zu speichern, bestehende Textdateien zu überschreiben, .txt-Dateien zu lesen und Dateien zu löschen. Ausgenutzt wird sie über die Methoden setFileContent, getParsedFile und mdelete, die Benutzereingaben nicht korrekt bereinigen. CVSS-Basiswert: 9.1 (Kritisch).

Eine Schwachstelle in der Klasse GraphCypherQAChain von langchain-ai/langchain Version 0.2.5 erlaubt SQL-Injection über Prompt-Injection. Dies kann zu unbefugter Datenmanipulation, Datenabfluss, Denial of Service durch Löschen aller Daten, Durchbrechen der Mandantentrennung und Integritätsverletzungen führen. CVSS-Basiswert: 9.8 (Kritisch).

langchain_experimental (LangChain Experimental) in den Versionen 0.1.17 bis 0.3.0 erlaubt Angreifern die Ausführung beliebigen Codes über sympy.sympify (das intern eval verwendet) in der LLMSymbolicMathChain. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

langchain_experimental (auch bekannt als LangChain Experimental) in LangChain vor Version 0.1.8 erlaubt es Angreifern, den Fix für CVE-2023-44467 zu umgehen und beliebigen Code auszuführen. Dies geschieht über Python-Attribute wie __import__, __subclasses__, __builtins__, __globals__, __getattribute__, __bases__, __mro__ oder __base__, die in pal_chain/base.py nicht unterbunden werden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 0.1.8.

langchain_experimental (LangChain Experimental) in LangChain vor Version 0.0.306 erlaubt einem Angreifer, die Behebung von CVE-2023-36258 zu umgehen und über __import__ in Python-Code beliebigen Code auszuführen, was in pal_chain/base.py nicht unterbunden wird. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf LangChain 0.0.306 oder neuer.

Ein Problem in LangChain-ai Langchain v.0.0.245 erlaubt einem entfernten Angreifer, über die evaluate-Funktion in der numexpr-Bibliothek beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

In langchain v.0.0.171 besteht eine Schwachstelle, die es einem entfernten Angreifer erlaubt, über eine JSON-Datei an load_prompt beliebigen Code auszuführen. Dies steht im Zusammenhang mit __subclasses__ oder einem Template. CVSS-Basiswert: 9.8 (Kritisch).

In LangChain Version 0.0.231 erlaubt eine Schwachstelle einem entfernten Angreifer die Ausführung beliebigen Codes über den Parameter prompt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine fehlerbereinigte LangChain-Version aktualisieren.

In Harrison Chase langchain v0.0.194 und älter besteht eine Schwachstelle, die einem entfernten Angreifer die Ausführung von beliebigem Code erlaubt. Sie lässt sich über die Funktionen from_math_prompt und from_colored_object_prompt ausnutzen. CVSS-Basiswert: 9.8 (Kritisch).

Ein Problem in langchain langchain-ai v.0.0.232 und früher erlaubt einem entfernten Angreifer, über ein präpariertes Skript an die Komponente PythonAstREPLTool._run beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

In LangChain (Version 0.0.194) ermöglicht die PALChain-Komponente die Ausführung von beliebigem Code über die intern genutzten python-exec-Aufrufe. Betroffen sind unter anderem die Funktionen from_math_prompt und from_colored_object_prompt. Ein Angreifer kann darüber beliebigen Code auf dem System ausführen. CVSS-Basiswert: 9.8 (Kritisch).

In den LangChain Helm Charts zur Bereitstellung von LangChain-Anwendungen auf Kubernetes bestand vor Version 0.12.71 eine Schwachstelle durch URL-Parameter-Injektion in LangSmith Studio. Klickte ein angemeldeter Benutzer auf einen speziell präparierten Link, wurden dessen Bearer-Token, Benutzer-ID und Workspace-ID an einen vom Angreifer kontrollierten Server übertragen. Mit dem gestohlenen Token konnte der Angreifer die Identität des Opfers annehmen und im Workspace agieren; betroffen waren LangSmith Cloud und selbst gehostete Installationen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.12.71 oder neuer, da keine Umgehungslösung existiert.

In LangChain JS besteht vor @langchain/core 0.3.80 und 1.1.8 sowie vor langchain 0.3.37 und 1.2.3 eine Serialisierungs-Injection in der toJSON-Methode (und damit beim Stringifizieren von Objekten mit JSON.stringify). Die Methode maskierte Objekte mit lc-Schlüsseln beim Serialisieren freier Daten in kwargs nicht. Da der lc-Schlüssel intern zur Markierung serialisierter Objekte dient, werden benutzergesteuerte Daten mit dieser Struktur bei der Deserialisierung fälschlich als legitimes LangChain-Objekt behandelt. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf die korrigierten Versionen.

Das Paket langchain-experimental ist ab Version 0.0.15 und vor 0.0.21 für die Ausführung beliebigen Codes anfällig: Beim Abrufen von Werten aus der Datenbank ruft der Code eval auf allen Werten auf. Ein Angreifer, der den Eingabe-Prompt kontrollieren kann und dessen Server mit VectorSQLDatabaseChain konfiguriert ist, kann darüber beliebigen Python-Code ausführen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: auf langchain-experimental 0.0.21 oder neuer aktualisieren.

In der LocalFileStore-Funktion von langchain-ai/langchain besteht eine Path-Traversal-Schwachstelle durch unzureichende Beschränkung eines Pfadnamens auf ein zulässiges Verzeichnis. Ein Angreifer kann dadurch Dateien an beliebiger Stelle im Dateisystem lesen oder schreiben, was zu Informationsabfluss oder Remotecodeausführung führen kann. Ursache ist die mangelnde Bereinigung benutzergesteuerter Eingaben in den Methoden mset und mget, sodass Directory-Traversal-Sequenzen in nicht vorgesehene Verzeichnisse gelangen. CVSS-Basiswert: 8.8 (Hoch).

LangChain bis Version 0.1.10 erlaubt eine ../-Directory-Traversal durch einen Angreifer, der den letzten Teil des path-Parameters in einem load_chain-Aufruf kontrolliert. Dadurch wird das vorgesehene Verhalten umgangen, Konfigurationen nur aus dem GitHub-Repository hwchase17/langchain-hub zu laden. Die Folge kann die Offenlegung eines API-Schlüssels für einen Sprachmodell-Onlinedienst oder die Ausführung von beliebigem Code sein. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 0.1.29 von langchain-core (die angegebene korrigierte Version) einspielen.

LangChain vor 0.0.317 erlaubt eine Server-Side Request Forgery (SSRF) über document_loaders/recursive_url_loader.py, weil das Crawling von einem externen Server auf einen internen Server übergehen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 0.0.317 oder neuer aktualisieren.

In LangChain, einem Framework zum Bau von Agenten und LLM-gestützten Anwendungen, besteht vor langchain-text-splitters 1.1.2 eine Schwachstelle: Die Methode HTMLHeaderTextSplitter.split_text_from_url() validierte die anfängliche URL nur unzureichend. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf langchain-text-splitters 1.1.2.