Az új Langflow-sebezhetőségre már rárepültek a hackerek
A Langflow-keretrendszer egy súlyos sebezhetőség miatt került veszélybe, amelyet a hackerek már aktívan ki is használnak. Ez a népszerű, nyílt forráskódú eszköz nagy nyelvi modelleken futó MI-munkafolyamatok vizuális építésére szolgál, és széles körben használják a fejlesztők. A most felfedezett hibának (CVE-2026-33017) köszönhetően a támadók hitelesítés nélkül tudnak kódot futtatni a rendszerben, és ezáltal rávehetik a szoftvert, hogy akaratuk szerint vezérelje a munkafolyamatokat.
Rekordgyors kihasználás
Az Endor Labs kutatói szerint a sérülékenység nyilvánosságra hozatala után mindössze 20 órával már automatikus szkennelés indult, 21 órán belül Python-alapú támadás kezdődött, majd 24 órán belül lehívták a környezeti fájlokat és az adatbázisfájlokat is a támadók. Érdemes kiemelni, hogy nem létezett nyilvánosan elérhető exploitkód, a támadók a biztonsági közleményből szűrték le a kihasználási lehetőségeket.
Hogyan védekezhetsz?
A Langflow 1.8.1 vagy korábbi verziói érintettek, egyetlen megfelelően formált HTTP-kérés is elég lehet a támadáshoz, mivel a flow-végrehajtás nincs elszigetelve. A frissítés kiadása után ajánlott minden szervert az 1.9.0-s vagy újabb verzióra frissíteni, vagy a sérülékeny végpontokat letiltani, korlátozni. Ajánlatos továbbá nem kitenni közvetlenül az internetre a Langflow-szervereket, a forgalmat monitorozni, gyanús tevékenység esetén pedig API-kulcsokat, adatbázis-jelszavakat és felhős titkokat cserélni.
Határidők és előírások
Az Egyesült Államok kibervédelmi hatósága, a CISA április 8-ig adott határidőt a szövetségi szervezeteknek a sebezhetőség megszüntetésére, de a magán- és közigazgatási szektor számára is ajánlott ugyanezt a határidőt követni. Ezáltal elkerülhető, hogy a támadók átvegyék az irányítást az MI-munkafolyamatok és a teljes szerverek felett.
💫 A fekete lyukak világa egészen lenyűgöző. Nemcsak a téridőt képesek meghajlítani, de elképesztő sebességgel forognak, és mindent magukba szívnak, ami a közelükbe kerül...
💧 Nem hiszem el, de újabb felhőalapú lebőgés rázta meg az Európai Bizottságot: egy hackercsapat simán hozzáfért az EU-s tisztviselők Amazon-felhőjéhez, és közben 350 GB-nyi adatot szippantott le több adatbázisból...
🛑 Elon Musk legújabb perében igyekezett bizonyítani, hogy az X-et (korábbi nevén Twitter) elhagyó hirdetők versenyjogot sértettek közös fellépésükkel...
🛫 Felmerül a kérdés, hogy a mai okoseszközökkel telepakolt táskákban hogyan lehet minden eszközt folyamatosan működésben tartani egy hosszú túra, városnézés vagy akár egy fesztivál alatt...
Kiugrott az új iOS 26.4 március 24-én, hozott magával egy rakás izgalmat: végre saját videós podcastok pörögnek az Apple Podcastsban, némi hibajavítás is becsúszott, meg persze még pár apróság...
A bitcoin megint zuhan, most épp 24,5 millió forint alá esett egy darabja, és ahogy ez lenni szokott, előkerül a pánikgomb: akik 10 bitcoint (vagyis nagyjából 245 millió forintnyit) tartanak vagy annál kevesebbet, szó szerint menekítik a vagyonukat...
🎮 Egy lényeges szempont, hogy a hardverhiány miatti áremelkedés főként a belső alkatrészekre volt jellemző, de a perifériák ára nagyrészt stabil maradt...
💸 Csütörtökön nagyot rándult a piac: a befektetők egyetlen nap alatt 62 milliárd forint értékű – azaz 171 millió dollárnyi – tőkét vontak ki az amerikai bitcoin ETF-ekből...
🕵 Na hát ennyit erről, de aztán jön a váratlan fordulat: a holland rendőrség kénytelen volt elismerni, hogy őket is célba vették egy ügyes adathalász-támadással...
💸 A Samsung hamarosan új, Smart Shopping nevű funkcióval bővítheti népszerű böngészőjét, amely automatikusan kuponokat keres és alkalmaz különböző webáruházakban...
Ilyen eset például, amikor az ember teljes biztonságban érzi magát egy anonim rendőrségi bejelentőfelületen, majd pár kattintás után kiderül, mennyire könnyen kijátszható a rendszer...
Végre itt egy MI-funkció, amire tényleg vártunk! A Gemini mostantól lehetőséget ad arra, hogy gond nélkül áthozd minden csevegésedet és adatodat más mesterségesintelligencia-alkalmazásokból...
