Açık kaynaklı yapay zeka platformu Flowise'de keşfedilen kritik bir güvenlik açığı, saldırganların sadece bir iş akışı dosyasını içe aktararak sunucuyu tamamen ele geçirmesine olanak tanıyor. Obsidian Security tarafından yapılan analizde, CVE-2026-40933 olarak izlenen bu güvenlik açığı, Flowise'in self-hosted sürümlerini etkiliyor. Platform, büyük dil modelleri (LLM) ve yapay zeka ajanları oluşturmak için yaygın olarak kullanılıyor ve GitHub'da 52.000'den fazla yıldıza sahip. Flowise Cloud hizmeti ise bu açıktan etkilenmiyor.
Güvenlik açığı, Flowise'in Custom MCP (Model Context Protocol) aracında yatıyor. Bu özellik, kullanıcıların harici hizmetleri MCP'ye bağlamasına olanak tanıyor. Ancak stdio taşıma protokolü kullanıldığında, araç kullanıcı tarafından sağlanan bir komutu herhangi bir kısıtlama olmadan Flowise sunucusunda bir alt işlem olarak çalıştırıyor. Bu, saldırganların kötü niyetli komutları bir iş akışı dosyasına gizlemesine ve bu dosyayı içe aktaran kullanıcının sunucusunda çalıştırmasına olanak tanıyor.
Obsidian Security'nin raporuna göre, kötü niyetli bir iş akışı dosyasını içe aktarmak, komutun çalışması için yeterli. Çünkü iş akışı editörü, dosya yüklendiğinde otomatik olarak yapılandırılmış sunucuyu sorguluyor. Komutun çalışması için herhangi bir kaydetme, çalıştırma veya onay adımı gerekmiyor. Bu, saldırganların sosyal mühendislik saldırılarıyla kullanıcıları kötü niyetli dosyaları içe aktarmaya ikna etmesini kolaylaştırıyor.
Flowise, güvenlik açığını gidermek için bir yama yayınladı. Ancak Obsidian Security, bu yamanın temel sorunu çözmediğini belirtiyor. Yama, yalnızca giriş doğrulaması ekleyerek izin verilen komutları ve argümanları kısıtlıyor. Ancak saldırganlar, izin verilen girdiler içinde hala kötü niyetli davranışlar sergileyebiliyor. Bu nedenle, self-hosted kurulumlar, en son sürümde bile varsayılan olarak savunmasız kalıyor.
Teknik Analiz
Obsidian Security, en etkili korunma yönteminin stdio taşıma protokolünü devre dışı bırakmak olduğunu belirtiyor. Bunun için Flowise'in Custom MCP protokolünü Server-Sent Events (SSE) olarak değiştirmek, kod çalıştırma yolunu tamamen ortadan kaldırıyor. Ayrıca, ekiplerin herhangi bir MCP yapılandırmasını kod olarak ele alması ve yalnızca güvenilir kaynaklardan gelen dosyaları kullanması öneriliyor. Paylaşılan iş akışları, bilinmeyen kaynaklardan içe aktarılmamalı.
Gelecekte Ne Bekleniyor?
Bu güvenlik açığı, yapay zeka platformlarının güvenliğinin ne kadar kritik olduğunu bir kez daha gösteriyor. Özellikle self-hosted çözümler kullanan kuruluşlar, güvenlik yamalarını hemen uygulamalı ve gereksiz özellikleri devre dışı bırakmalı. Ayrıca, kullanıcıların bilinmeyen kaynaklardan gelen dosyaları içe aktarmaması konusunda eğitilmesi önemli. Bu tür açıklar, yapay zeka sistemlerinin yaygınlaşmasıyla birlikte daha sık karşımıza çıkabilir.
Kaynak: infosecurity-magazine.com
