30秒で判断
- 対応すべき人：LLMアプリ開発プラットフォーム Dify（1.5.1以前）をDockerで運用している方
- 対応不要な人：Difyを利用していない方
- 確認コマンド：
docker-compose.yaml内のPostgreSQL認証情報を確認する
概要
Dify（1.5.1以前）のソースコードに同梱される docker-compose.yaml に、PostgreSQLのユーザー名・パスワードがハードコードされている問題です。デフォルト値のまま運用すると、データベースへアクセス可能な経路がある場合に不正アクセスにつながるおそれがあります。開発元は、バージョン1.0.1以降ではPostgreSQL（TCP 5432番）がデフォルトで外部公開されない点を説明していますが、認証情報自体の変更は推奨されます。
攻撃条件
| 項目 | 内容 |
|---|---|
| 攻撃元区分 | ネットワーク（PostgreSQLのポートに到達可能な場合） |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要 |
| CVSSスコア | 9.8（Critical、ポートが外部公開されている構成の場合） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Dify | LangGenius | 1.5.1 以前 |
修正バージョンと回避策
- 対応:
docker-compose.yaml内のPostgreSQLユーザー名・パスワードを独自の値に変更する - 確認事項: PostgreSQLのポート（TCP 5432）が外部に公開されていないか、ネットワーク構成を確認する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。