פגיעות n8n של CVE-2025-68668
חוקרי אבטחת סייבר חשפו פגיעות חדשה וחמורה ב-n8n, פלטפורמת אוטומציה של זרימת עבודה בקוד פתוח פופולרית. הפגם עלול לאפשר לתוקף מאומת להריץ פקודות שרירותיות של מערכת הפעלה על השרת הבסיסי, מה שעלול להוביל לפגיעה מלאה במערכת.
הבעיה מסומנת כ-CVE-2025-68668 ונושאת ציון CVSS של 9.9, מה שמציב אותה בקטגוריית חומרה קריטית. היא סווגה ככשל במנגנון הגנה.
תוכן העניינים
מי נמצא בסיכון ולמה זה חשוב
פגיעות זו משפיעה על גרסאות 1.0.0 של n8n עד (אך לא כולל) 2.0.0. כל משתמש מאומת שיש לו הרשאה ליצור או לשנות זרימות עבודה עלול לנצל את הפגם כדי לבצע פקודות ברמת המערכת עם אותן הרשאות כמו תהליך n8n.
החולשה נובעת מעקיפת ארגז חול בצומת הקוד של פייתון שמסתמך על Pyodide. על ידי שימוש לרעה ברכיב זה, תוקף יכול להימלט מסביבת הביצוע המיועדת ולקיים אינטראקציה ישירה עם מערכת ההפעלה המארחת.
הבעיה תוקנה במלואה בגרסה 2.0.0 של n8n.
פירוט טכני: בריחה מארגז חול של פייתון
על פי ההנחיה הרשמית, בקרות ה-sandbox של צומת הקוד של פייתון לא היו מספקות, מה שאפשר לתוקפים לעקוף מגבלות ולהפעיל ביצוע פקודות שרירותי. מצב זה מגדיל באופן דרמטי את פרופיל הסיכון של המערכות שנפגעו, במיוחד בסביבות בהן משתמשים מרובים יכולים לעצב או לערוך זרימות עבודה.
שיפורי האבטחה והתיקון לטווח ארוך של n8n
בתגובה לחששות רחבים יותר בנוגע ל-sandboxing, n8n הציג מודל ביצוע Python מקורי מבוסס משימות (task runner) בגרסה 1.111.0 כתכונה אופציונלית ומבודדת בצורה מאובטחת יותר. ניתן להפעיל מודל זה באמצעות משתני הסביבה N8N_RUNNERS_ENABLED ו-N8N_NATIVE_PYTHON_RUNNER.
עם פרסום גרסה 2.0.0, יישום בטוח יותר זה מופעל כעת כברירת מחדל, וסוגר למעשה את הפגיעות.
אמצעי הפחתה מומלצים עבור מערכות שלא תוקנו
עד שניתן יהיה לשדרג לגרסה 2.0.0, n8n ממליצה ליישם את אמצעי הבטיחות הזמניים הבאים:
השבת את צומת הקוד לחלוטין על ידי הגדרת :
NODES_EXCLUDE: ['n8n-nodes-base.code']
כבה את התמיכה בפייתון בצומת הקוד על ידי הגדרת :
N8N_PYTHON_ENABLED=שקר
כפיית שימוש בארגז החול של פייתון המבוסס על רץ משימות באמצעות :
N8N_RUNNERS_ENABLED ו-N8N_NATIVE_PYTHON_RUNNER
שלבים אלה מפחיתים משמעותית את הסיכון לבריחת ארגז חול (sandbox escape) ולביצוע פקודות.
חלק ממגמה מדאיגה
גילוי זה מגיע מיד לאחר פגיעות קריטית נוספת ב-n8n, CVE-2025-68613 (גם היא מדורגת 9.9 CVSS), אשר עלולה להוביל גם היא להפעלת קוד שרירותית בתנאים מסוימים. יחד, בעיות אלו מדגישות את הצורך הדחוף של מנהלי מערכת לתעדף שדרוגים ולהגביל הרשאות זרימת עבודה.
