LangChainGo: Κρίσιμη ευπάθεια επιτρέπει πρόσβαση σε ευαίσθητα αρχεία

Μια ευπάθεια υψηλής σοβαρότητας εντοπίστηκε στο LangChainGo, το Go implementation του δημοφιλούς LLM orchestration framework LangChain. Η ευπάθεια αυτή, που παρακολουθείται ως CVE-2025-9556, επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να πραγματοποιούν arbitrary file reads μέσω κακόβουλων prompt templates, αποκαλύπτοντας ουσιαστικά ευαίσθητα αρχεία διακομιστή χωρίς να απαιτείται άμεση πρόσβαση στο σύστημα.

LangChainGo: Server-Side Template Injection

Το LangChainGo βασίζεται στο Gonja template engine, ένα Go port του Python Jinja2, για την ανάλυση και απόδοση dynamic prompts. Το CERT Coordination Center και το Software Engineering Institute αναφέρουν ότι η συμβατότητα του Gonja με τα Jinja2 directives, όπως {% include %}, {% from %} και {% extends %}, επιτρέπει την επαναχρησιμοποίηση templates, αλλά επίσης εισάγει επικίνδυνες αλληλεπιδράσεις με το σύστημα αρχείων όταν μη αξιόπιστο περιεχόμενο γίνεται rendered.

Δείτε επίσης: IBM QRadar SIEM: Ευπάθεια επιτρέπει μη εξουσιοδοτημένες ενέργειες

Ένας επιτιθέμενος μπορεί να υποβάλει ένα prompt που περιέχει ένα payload που μπορεί να αναγκάσει το LangChainGo να φορτώσει και να επιστρέψει τα περιεχόμενα. Επειδή το Gonja επεξεργάζεται το Jinja2 syntax εγγενώς, προηγμένα template constructs, όπως nested statements ή custom μακροεντολές, μπορούν να χρησιμοποιηθούν για να διασχίσουν καταλόγους ή να συνδέσουν πολλαπλά file reads σε ένα μόνο injection string.

Σε περιβάλλοντα LLM chat που υποστηρίζονται από το LangChainGo, η μόνη προϋπόθεση είναι η πρόσβαση στο prompt submission interface, καθιστώντας την εκμετάλλευση απλή για απομακρυσμένους απειλητικούς παράγοντες. Η ευπάθεια θέτει σε κίνδυνο την εμπιστευτικότητα και υπονομεύει το βασικό μοντέλο εμπιστοσύνης των συστημάτων που βασίζονται σε LLM. Οι επιτιθέμενοι μπορούν να συλλέξουν κλειδιά SSH, αρχεία περιβάλλοντος, διαπιστευτήρια API ή άλλα δεδομένα που είναι αποθηκευμένα στον διακομιστή.

Μόλις αποκτήσουν αυτά τα αρχεία, οι αντίπαλοι μπορεί να αυξήσουν τα προνόμια, να μετακινηθούν πλευρικά ή να εξάγουν πνευματική ιδιοκτησία. Ο κίνδυνος αυξάνεται σε αναπτύξεις πολλαπλών χρηστών, όπου ένας κακόβουλος χρήστης θα μπορούσε να αποκτήσει πρόσβαση στους πόρους του συστήματος αρχείων μιας άλλης παρουσίας χρήστη.

Δείτε επίσης: Το εργαλείο AI Villager φτάνει τις 11.000 λήψεις στο PyPI

Προστασία

Οι συντηρητές έχουν κυκλοφορήσει ένα patch που εισάγει μια ασφαλή λειτουργία RenderTemplateFS, η οποία επιβάλλει μια λίστα επιτρεπόμενων template paths και απενεργοποιεί την αυθαίρετη πρόσβαση στο σύστημα αρχείων από προεπιλογή. Η ενημέρωση, επίσης, ενισχύει τις ρουτίνες ανάλυσης template για να καθαρίζουν ή να απορρίπτουν οποιαδήποτε προτροπή που περιέχει Jinja2 file-inclusion directives. Οι χειριστές του LangChainGo θα πρέπει να αναβαθμίσουν άμεσα στην έκδοση 0.18.2 ή νεότερη και να ελέγξουν τον prompt-handling code για οποιοδήποτε custom template instantiation χρησιμοποιώντας το NewTemplate(), αντικαθιστώντας το με το ενημερωμένο NewSecureTemplate API().

Η υπόθεση του LangChainGo και της CVE-2025-9556 πρέπει να μας ωθήσει να ξανασκεφτούμε όχι μόνο την τεχνική αντιμετώπιση αλλά και το πώς δομούμε την εμπιστοσύνη γύρω από εφαρμογές LLM. Μια ακόμη τεχνική διόρθωση είναι απαραίτητη — αλλά από μόνη της δεν αρκεί. Χρειαζόμαστε συστήματα, διαδικασίες και κουλτούρα που να περιθωριοποιούν ρητά τον κίνδυνο που προκύπτει όταν εξωτερικό, μη αξιόπιστο κείμενο μπορεί να μετατραπεί σε ενεργό κώδικα ή οδηγία στο περιβάλλον μας.

Δείτε επίσης: Ευπάθεια στο Flowise επιτρέπει κλοπή λογαριασμού

Ξεκινάμε από την αρχιτεκτονική: διαχωρισμός ρόλων σε επίπεδο υπηρεσιών. Τα μοντέλα LLM που αποδίδουν δυναμικά prompts πρέπει να λειτουργούν πίσω από ένα «μικρο-πύργο ελέγχου» — ένα API gateway που εφαρμόζει πολιτικές, περιορισμούς μεγέθους, rate limiting και content policy enforcement πριν να φτάσει οτιδήποτε στο renderer. Αυτός ο πύργος μπορεί επίσης να πραγματοποιεί lightweight static analysis στα templates και να μπλοκάρει καταχωρήσεις που περιέχουν directives ή characters που συχνά χρησιμοποιούνται για περιεχόμενο-injection.

Ασφάλεια σχεδιασμού: αντιστρέψτε την υπόθεση εμπιστοσύνης. Όπου είναι απαραίτητη παραμετροποίηση, χρησιμοποιείτε only-parameter templates με placeholders που δέχονται μόνο απλά strings/values — όχι ολόκληρο template code. Προωθήστε pattern-based composition (π.χ. server-side συνένωση ασφαλών κομματιών), όχι client-provided includes. Σκεφτείτε templates σαν SQL: ποτέ μη περάσετε ακατέργαστα user-provided directives στον renderer χωρίς sanitization και whitelisting.

Επιχειρησιακά: ενσωματώστε κανόνες ελέγχου αλλαγών στα templates. Κάθε νέα version πρέπει να περνάει code review, SAST για template directives και να έχει audit trail. Επίσης, απαιτήστε έγκριση για template uploads από verified accounts και ενεργοποιήστε MFA/RBAC για χρήστες που έχουν το προνόμιο να ανεβάζουν ή να επεξεργάζονται templates.

Ανίχνευση και αποκατάσταση: καταγράψτε κάθε render event με context (user, IP, template hash, parameters). Δημιουργήστε SIEM κανόνες που εντοπίζουν ανώμαλες ακολουθίες renders (π.χ. πολλαπλές αιτήσεις που προσπαθούν να διαβάσουν αρχεία). Προβλέψτε ασφάλεια «χαμηλής εμπιστοσύνης»—όταν ένα template φαίνεται ύποπτο, τρέξτε το σε sandbox με περιορισμένα I/O και ελέγξτε την έξοδο πριν την εκθέσετε σε χρήστη.

Τελικά, η αντιμετώπιση τέτοιων ευπαθειών είναι συλλογική. Ο συνδυασμός ασφαλούς αρχιτεκτονικής, πολιτικών διακυβέρνησης, συνεπούς logging και αυτόματων ελέγχων μπορεί να μετατρέψει τα LLM services από πιθανούς κινδύνους σε αξιόπιστα εργαλεία.