DifyTap a vulnerabilidade que cria uma via silenciosa para exfiltrar conversas e documentos em plataformas multi tenant

Pesquisadores de segurança identificaram uma cadeia de falhas em Dify, uma plataforma open-source para fluxos de trabalho com agentes e mais de 146.000 estrelas no GitHub, que permitiam exfiltrar silenciosamente conversas e arquivos de outras aplicações alojadas em seu serviço multi-tenant. O conjunto de falhas, batizado pelos descubridores como DifyTap, inclui erros de autorização e de saneamento de rotas que, combinados, possibilitam a um atacante ler mensagens, respostas de modelos e documentos alheios sem autenticação complexa ou acesso privilegiado.

Além do titular, a gravidade real reside na natureza persistente e discreta do canal de fuga: um atacante pode se registrar livremente na plataforma, configurar seu próprio fornecedor de traços (trace provider) para uma aplicação pública e redireccionar ali todas as chamadas de rastreamento, criando assim uma uma via silenciosa para capturar cada entrada e resposta gerada por modelos. Além disso, outros defeitos permitiam manipular petições para o serviço interno de plugins e visualizar fragmentos de documentos somente conhecendo um UUID, situação que quebra os limites de isolamento entre inquilinos e usuários dentro de um mesmo inquilino.

O relatório também aponta dependência em uma versão vulnerável de PDFium com um erro de type use‐after-free (registado como CVE-2024-5846), que poderia ser explorado com um PDF malicioso para corromper memória no processo de parseo. A combinação de vulnerabilidades lógicas na plataforma e de bibliotecas nativas vulneráveis sublinha a necessidade de abordar tanto a superfície web como o stack de terceiros.

Para quem opera ou desenvolve plataformas multi-tenant de IA existe um conjunto claro de lições: validar rigorosamente a separação entre inquilinos, minimizar a exposição de identificadores de recursos e não confiar na presença de autenticação per se. Na prática, isso significa rever controles de autorização em endpoints que aceitam os EUAIDs ou rotas, aplicar saneamento robusto de URLs, e evitar que endpoints internos (como daemon de plugins) fiquem acessíveis a partir da camada pública da aplicação.

No que se refere a acções imediatas, os operadores do Dify devem actualizar a versão em que a maioria dos erros foram corrigidos (ou seja, o adesivo foi publicado na release v1.14.2) e monitorizar a próxima entrega que resolva o resto dos problemas pendentes. Você pode consultar a versão no repositório oficial do Dify: https://github.com/dify-ai/dify/releases/tag/v1.14.2. Também convém atualizar bibliotecas de renderização de PDFs e revisar CVEs conhecidos, por exemplo, a entrada em NVD sobre a vulnerabilidade em PDFium: https://nvd.nist.gov/vuln/detail/CVE-2024-5846.

Para reduzir o risco enquanto se desdobram adesivos, é aconselhável restringir o acesso público a aplicativos não necessários, desativar fornecedores de traços externos até verificar sua segurança, rotar credenciais e chaves de integração, e ativar monitoramento de integridade e alertas específicos para taxas anormais de traços ou solicitações para endpoints internos. A nível de desenvolvimento, a implementação de testes automatizados que envolvam contextos multi-tenant (incluindo tentativas de traversals e utilizações dos EUAIDs de terceiros) ajudará a detectar regressões em controlos de acesso.

Finalmente, a incidência destaca um problema estrutural em ecossistemas baseados em contentores e dependências em bibliotecas nativas: as diferenças entre implantaçãos (imágenes, flags de runtime, configuração de rede) podem criar “grietas” que os scanners tradicionais não veem. Recomendação para responsáveis por produtos: combinar análises estáticas e dinâmicas, incluir testes de pentesting centrados em isolamento por tenant, e manter programas de bug bounty para capturar falhas lógicas que não aparecem em análises de dependências.