인증 없는 RCE와 기본 활성화된 자동 로그인: 랭플로우 1.13.0 긴급 업그레이드 분석
랭플로우 1.0.0부터 1.12.8까지 전 버전에 걸쳐 인증 우회 및 원격 코드 실행 취약점이 확인됐다. 보안 격리 조치와 버전 1.13.0 마이그레이션 방안을 분석한다.
발행일: 2026.11.03
공식 사이트 확인1.13.0 미만 모든 릴리스 취약
인증 없는 임의 코드 실행 가능
1.13.0에서 LANGFLOW_AUTO_LOGIN 비활성화
오픈소스 기반 AI 워크플로우 빌더인 랭플로우(Langflow)에서 원격 공격자가 인증 절차 없이 서버 권한을 탈취할 수 있는 치명적 보안 결함이 보고됐다. IBM 보안 권고에 따르면 취약점 영향 범위는 랭플로우 1.0.0부터 1.12.8까지 전 버전에 걸쳐 있다. 보안 패치가 공식 적용된 릴리스는 1.13.0 단 하나뿐이다.
랭플로우는 거대언어모델(LLM) 파이프라인과 자율 에이전트를 시각적으로 조립하는 엔터프라이즈 도구다. 사내 데이터베이스, 클라우드 API 자격증명, 내부 실행 코드가 밀집된 랭플로우 서버의 권한 침해는 곧바로 전사 인프라 장악으로 이어진다. 이번 사태의 기술적 발화점과 엔터프라이즈 인프라 보호 조치를 짚어본다.
모델 컨텍스트 프로토콜(MCP)과 자동 로그인이 결합된 RCE 메커니즘
이번에 드러난 핵심 위협은 모델 컨텍스트 프로토콜(Model Context Protocol, 이하 MCP) 도구 목록 조회 과정에서 발생하는 인증 우회와 원격 코드 실행(RCE)이다. 랭플로우는 생성한 워크플로우를 타 AI 애플리케이션에 외부 도구로 노출하기 위해 MCP 엔드포인트를 제공한다. 공격자는 자격증명 없이 이 엔드포인트에 세션을 연결해 내부 워크플로우 메타데이터를 추출하거나 임의 코드를 밀어 넣을 수 있다.
공격자가 외부 네트워크에서 루트 권한을 획득하는 단계
인증 헤더 없이 공개된 엔드포인트로 무단 세션 연결 수립
LANGFLOW_AUTO_LOGIN 활성화로 최고관리자 권한 자동 획득
도구 열거 및 파이프라인 조작을 통해 호스트 서버 장악
위협을 극대화한 구조적 원인은 개발 편의를 위한 기본 설정이었다. 랭플로우 1.12.8까지 기본 환경 변수 LANGFLOW_AUTO_LOGIN은 참(True)으로 설정되어 배포됐다. 이 설정이 켜져 있으면 시스템은 접속자에게 로그인 자격증명을 요구하지 않고 최고관리자(superuser) 세션을 즉각 발급한다.
코드 주석에는 개발 환경 전용이라는 경고가 명시되어 있었으나, 컨테이너 이미지를 그대로 상용 인프라나 사내망에 올리는 배포 관행 탓에 수많은 인스턴스가 무방비 상태로 노출됐다. 이미 침투 테스트 도구인 메타스플로잇(Metasploit Framework)에는 인증 없이 랭플로우 서버의 도구 목록을 탈취하는 모듈(CVE-2026-93680 기반)이 공개 등록된 상태다.
IBM은 이번 권고에서 4개의 핵심 결함을 공개했으며, 이 중에는 기존 자동 로그인 보안 통제의 미흡한 수정 건도 포함됐다. 이전 버전에서 자동 로그인을 비활성화했더라도 안전을 온전히 담보하기 어려웠음을 보여준다.
기본 설정 변경 및 엔드포인트 접근 제어 차이
- • LANGFLOW_AUTO_LOGIN 기본 활성화 (자동 수퍼유저 부여)
- • 인증 없는 MCP 엔드포인트 도구 열거 및 세션 연결 허용
- • 임의 코드 실행(RCE) 허용 취약점 상존 (CVSS 9.8)
- • LANGFLOW_AUTO_LOGIN 기본 비활성화 (명시적 로그인 강제)
- • MCP 엔드포인트 비인가 접근 차단 및 토큰 검증 강화
- • CVE-2026-104339 포함 33개 취약점 일괄 수정 적용
취약점 스펙과 버전별 영향도 비교
IBM은 이번 4건 외에도 10월 말 29건의 랭플로우 취약점 CVE를 추가 공개했다. 이 가운데 CVE-2026-104339는 계정이 없는 원격 공격자가 임의 코드를 실행할 수 있는 결함으로 심각도 평점 CVSS 9.8을 기록했다.
미국 사이버보안·인프라보호국(CISA)의 기악용 취약점 목록(KEV)에는 과거 등록된 CVE-2026-9198을 비롯한 6건의 랭플로우 취약점이 등재되어 있다. 이번에 보고된 결함들은 아직 KEV에 오르지 않았으나, 메타스플로잇 모듈 확산 속도를 감안할 때 실전 공격 무기화는 시간문제다.
| 구분 | 랭플로우 1.12.8 이하 | 랭플로우 1.13.0 |
|---|---|---|
| 보안 패치 상태 | RCE 및 인증 우회 결함 방치 | 핵심 취약점 33건 패치 완료 |
| 자동 로그인 기본값 | 활성화 (LANGFLOW_AUTO_LOGIN=true) | 비활성화 (LANGFLOW_AUTO_LOGIN=false) |
| 최고관리자 권한 부여 | 미인증 접속자에게 자동 승격 | 자격증명 검증 후 제한적 부여 |
| 공격 표면 (MCP) | 인증 없이 도구 열거 및 훅 호출 가능 | 인증 헤더 필수 및 엔드포인트 격리 |
| 공식 임시 완화책 | 제공되지 않음 (업그레이드 필수) | 불필요 |
| 배포 환경 적합성 | 인터넷 노출 및 상용 운영 불가 | 상용 운영 전환 가능 |
개발팀이 1.12.8을 배포하면서 같은 날 1.13.0을 동시에 내놓은 점은 주목할 만하다. 파이썬 패키지 색인(PyPI) 기준으로 1.12 계열의 후속 패치 버전은 더 이상 나오지 않는다. 1.12.x 브랜치에 머물러서는 보안 패치를 적용할 방법이 없다는 뜻이다. 벤더사인 IBM 역시 1.13.0으로의 판올림 외에 별도의 임시 우회 방안(Workaround)을 제시하지 않았다.
메타스플로잇 모듈 명시 범위와 IBM 공식 발표 취약 버전 비교
엔터프라이즈 환경의 단계별 리스크 차단 프로토콜
별도 완화책이 존재하지 않는 취약점 특성상, 인프라 및 보안 리더는 단계별 조치를 즉각 가동해야 한다. 외부 공용 네트워크와 랭플로우 서버 간 연결을 끊고, 패치 적용 및 감사 로그 조사를 순차적으로 진행해야 한다.
외부 노출 차단부터 버전 업그레이드까지 즉각 실행 순서
인터넷 인바운드 인그레스를 즉시 내리고 내부 VPC/VPN 전용망으로 격리
컨테이너 이미지 교체 및 LANGFLOW_AUTO_LOGIN 비활성화 상태 확인
기존 DB 내 API 토큰 재생성 및 비정상 관리자 계정 생성 여부 전수 감사
- 네트워크 인그레스 전면 격리: 랭플로우 인스턴스가 퍼블릭 IP를 할당받아 외부에 열려 있다면 즉시 인바운드 트래픽을 차단하라. 사내 VPN 또는 제로 트러스트 네트워크 액세스(ZTNA) 경계 내부로 인스턴스를 옮겨야 한다.
- 컨테이너 이미지 1.13.0 강제 교체: 도커(Docker) 및 쿠버네티스 매니페스트에서 이미지 태그를
langflowai/langflow:1.13.0으로 교체하라. 환경 변수에서LANGFLOW_AUTO_LOGIN이 강제로true로 주입되고 있지 않은지 검증하라. - 파이프라인 내 저장된 시크릿 전면 폐기 및 교체: 랭플로우 내부 컴포넌트에 평문이나 가역 암호화 상태로 저장되었던 OpenAI, 앤트로픽 API 키, 사내 벡터 데이터베이스 접속 비밀번호를 모두 재생성하라. 공격자가 도구 열거 취약점을 통해 해당 자격증명을 탈취했을 가능성을 배제할 수 없다.
- 호스트 및 컨테이너 침해 흔적(IoC) 점검: 1.12.8 이하 버전을 외부망에 노출한 이력이 있다면 웹 액세스 로그에서 비정상적인 MCP 엔드포인트 호출 기록과 비인가 수퍼유저 세션 생성 로그를 조사하라. 컨테이너 내부에서 발생한 비정상적인 자식 프로세스 포크 여부를 감사해야 한다.