Framework em chinês chamado Greeter explora falha do Flowise para atacar infraestrutura de IA

A Era montou sete honeypots com Flowise 1.8.2 em quatro regiões e deixou FLOWISE_USERNAME e FLOWISE_PASSWORD sem definição de propósito. Entre julho e outubro de 2026, o que parecia um chatbot com defeito (4.972 mensagens, todas "hello") era na verdade um framework em chinês, batizado de Greeter. A falha explorada é a CVE-2024-58351: o parâmetro overrideConfig da API de predição aceita a chave javascriptFunction, que troca o código dos nós Custom JavaScript Function na hora da chamada. O código malicioso vai por requisição e não fica no banco, então o chatflow salvo continua inofensivo. Na sessão observada, o acesso veio de um nó de saída TOR e não exigiu autenticação.

A sequência teve 12 etapas, reconstruídas a partir de mais de 4.000 comandos. Incluiu um dump de reconhecimento de cerca de 1 MB com 19 comandos encadeados, checagem de Docker socket, 41 Linux capabilities ativas, busca por arquivos .env, chaves SSH e a chave de criptografia do Flowise, sondagem de metadados em nuvem e tentativa de persistência com nomes que imitam daemons legítimos (polld-keeper e varrun-watcher, a tentativa falhou). O framework ainda testou execução em memória com memfd_create. No Shodan, a Era achou 4.372 instâncias expostas, 3.277 com versão identificável, 703 sem autenticação (21,5%) e 46 com as mesmas condições vulneráveis do honeypot. A própria Era ressalta que são estimativas por versão, sem indicar comprometimento. Quanto à mitigação, a fonte recomenda atualizar o Flowise, exigir autenticação nas APIs, impedir que chamadores não confiáveis sobrescrevam código executável, rodar sem root e sem sudo, derrubar capabilities, restringir o Docker socket e aplicar permissões mínimas à identidade em nuvem. IMDSv2 não contém execução arbitrária de código.

Para quem opera plataformas de agentes de IA, a leitura é que o risco não para no aplicativo. O alvo do Greeter eram as credenciais que ligam o workload ao resto da nuvem. Se o Flowise roda como root, com Docker socket acessível e role ampla, uma falha antiga vira caminho até a conta cloud. Vale inventariar instâncias expostas, conferir autenticação e revisar o que a identidade do workload pode fazer. Nos logs, o indicador é incomum: requisições "hello" repetidas com overrideConfig.