何が起きたか
未認証の /console/api/remote-files/upload エンドポイントは、攻撃者が制御するURLを受け入れ、Difyサーバーにそれをフェッチさせました（CWE-918 SSRF）。リモート攻撃者は、LLMプラットフォームサーバーを内部サービスまたはクラウドメタデータエンドポイント（169.254.169.254）に向けさせ、機密データを公開し、サーバーをネットワークピボットとして使用できるようにしました。Dify 1.13.0で修正されました。CISA SSVCは、exploitation=poc、automatable=yesとマークしています。
なぜ重要か
Difyは、広く展開されているオープンソースのLLMアプリ開発プラットフォームです。コンソールのリモートファイルハンドラーにおける未認証で自動化可能なSSRFは、攻撃者に、多くの場合モデルAPIキーとRAGドキュメントストアを保持するテナント内部から、クラウドIAM/インスタンスメタデータと内部APIへの直接的な読み取りアクセスを与えます — アカウントは不要です。
攻撃経路
169.254.169.254/latest/meta-dataまたは内部サービスを指すURLを /console/api/remote-files/upload にPOSTします。Difyサーバーがそれをフェッチし、応答を反映/保存します。
影響を受けるシステム
Dify（langgenius/dify）< 1.13.0
緩和策
Dify 1.13.0にアップグレードします。アップグレードが遅れる場合は、ネットワーク層でリンクローカル/内部レンジへの出力をブロックします。