KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2024-10252 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
DifySandbox，基于 Seccomp 实现，用于隔离 Python 和 Node.js 等语言的执行环境。受影响的版本中，nodejs.go 和 python.go 文件的 RunNodeJsCode 和 RunPython3Code 两个函数允许用户传递一个 preload 参数到沙箱环境中。攻击者可以通过该参数加载恶意动态库或资源文件，从而在沙箱内执行恶意代码。攻击者利用该机制可以突破沙箱隔离，获取主机权限。修复代码增加全局配置项 EnablePreload，明确禁止 preload 参数的使用。
影响范围
应用：langgenius dify（影响面 Up to (including) 0.9.1）
解决方案
将组件 dify 升级至 0.10.0 及以上版本。
参考信息
https://github.com/langgenius/dify/commit/4ac99ffe0e1c9f4d7c523908e91bbc7739e0a8d4
https://huntr.com/bounties/62c6c958-96cb-426c-aebc-c41f06b9d7b0
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。