QVD-2026-57410: jak podvržený HTTP Host obchází ochranu DeepSeek Harness

QVD-2026-57410 je nahlášená kritická zranitelnost v DeepSeek Harness (DSH) 0.1.1-rc.2. Podle zpráv propojených s QiAnXin jde o neautentizované vzdálené spuštění kódu (RCE) s hodnocením CVSS 3.0 9,8 z 10. Jádrem problému je rozhodování o důvěryhodnosti rozhraní /api podle klientem ovládané HTTP hlavičky Host — tedy podle údaje, který může útočník libovolně podvrhnout. 1924

Skutečná míra rizika výrazně závisí na způsobu nasazení. Dokumentovaný příkaz DeepSeeku spouští webové rozhraní ve výchozím nastavení na 127.0.0.1:3080, což omezuje přímý vzdálený přístup. Situace se zásadně mění, pokud je služba dostupná na jiné než lokální adrese nebo je publikována přes Docker, reverzní proxy, tunel, VPN, lokální síť či ingress. 1118

Jak obejití přes hlavičku Host funguje

Napadený návrh se pokouší rozlišit místní a vzdálené požadavky pomocí údajů o hostiteli v požadavku. Hlavičku Host však posílá klient a lze ji zfalšovat. Útočník, který se ke službě dokáže připojit, tak může odeslat hodnotu vypadající jako místní hostitel a přimět vrstvu /api, aby požadavek považovala za důvěryhodný. Zprávy o zranitelnosti to popisují jako obejití ochranné hranice založené na přístupu z loopbacku, tedy z místního zařízení. 1924

Na vysoké úrovni má popsaný řetězec útoku následující podobu:

1. Útočník se připojí ke zpřístupněnému webovému nebo správnímu rozhraní DSH.
2. Odešle požadavek s podvrženou hodnotou Host, která vypadá jako místní.
3. Obej ed e kontrolu /api, jež má chránit interní operace.
4. Vyvolá omezené RPC funkce.
5. Zaregistruje nebo použije poskytovatele modelu ovládaného útočníkem.
6. Přiměje schopnosti agenta DSH ke spuštění příkazů na hostitelském systému. 1920

Proto nejde jen o chybu směrování nebo úniku informací. Obej ití může vést k funkcím určeným pro AI agenta, který má systémové schopnosti, například práci se soubory, spouštění příkazů a přístup k síti.

Proč může chyba vést ke vzdálenému spuštění kódu

DeepSeek ve své bezpečnostní dokumentaci označuje Harness za experimentální software ve fázi vývojářského preview, který neprošel bezpečnostním auditem. Upozorňuje také, že projekt může spouštět kód a příkazy generované modelem a přistupovat k síti, procesům, přihlašovacím údajům a souborům, které jsou mu zpřístupněny. 4

Subsystém LLM podporuje registraci poskytovatelů i zjišťování modelů, včetně vzdálené operace discoverModels. 23 V popsaném exploitačním řetězci může útočníkem ovládaný poskytovatel dodat vstup, který pomůže dosáhnout schopností agenta určených ke spouštění příkazů. 19

Úspěšný útok automaticky neznamená získání oprávnění roota. Příkazy by se spouštěly s oprávněními procesu, pod kterým běží DSH. Ta však mohou být stále dostatečná ke čtení nebo úpravě dostupných souborů, zneužití přístupných hesel a API klíčů, spouštění procesů, změně aplikačních dat nebo navazování odchozí síťové komunikace.

Dopad závisí na konkrétním nasazení — například na tom, zda má služba příliš široký přístup k souborovému systému, běží v privilegovaném kontejneru, má připojený Docker socket nebo může používat cloudové přihlašovací údaje. Dostupné zprávy nepotvrzují, že každá instalace automaticky znamená úplné převzetí hostitelského systému.

Která nasazení jsou nejvíce ohrožena?

Za naléhavé kontrolní body je vhodné považovat zejména tyto konfigurace:

• DSH naslouchá na 0.0.0.0 nebo jiné adrese mimo loopback.
• Docker či jiný kontejnerový runtime publikuje port 3080 mimo místní počítač.
• Reverzní proxy předává správní API na internet nebo do nedůvěryhodné sítě LAN.
• Tunel, VPN nebo ingress zpřístupňuje službu uživatelům bez silného ověření identity.
• Proxy přijímá libovolné hodnoty klientské hlavičky Host nebo je beze změny předává dál.

To, že je služba označena jako „interní“, samo o sobě není autorizační mechanismus. Každý útočník, který se k rozhraní dostane a může ovlivnit příslušné hlavičky požadavku, se může pokusit o obejití.

Veřejný PoC, stav CVE a důkazy o zneužití

Více zpráv uvádí, že pro QVD-2026-57410 jsou veřejně dostupné technické podrobnosti nebo proof-of-concept kód. 192027 To zvyšuje naléhavost zabezpečení a omezení přístupu, veřejný PoC však sám o sobě není důkazem, že konkrétní instalace byla napadena.

Podle dostupných podkladů nebylo v době zveřejnění pozorováno zneužívání této chyby v reálných útocích ani nebyly nalezeny důkazy o spojení s konkrétní známou skupinou nebo kampaní. 1924 Jde ale pouze o stav známý v daném okamžiku, nikoli o záruku bezpečnosti. U vystavených instalací je proto vhodné hledat podezřelé požadavky, neočekávané registrace poskytovatelů, nové procesy a neobvyklá odchozí spojení.

QVD-2026-57410 je identifikátor QVD, nikoli CVE. Podobně znějící CVE-2026-57410 se podle databáze NVD týká nesouvisející chyby eskalace oprávnění v pluginu MailerPress. 17

Co by měli provozovatelé udělat

1. Nejprve odstraňte síťovou expozici

Přestaňte publikovat správní a API službu DSH na veřejný internet. Navažte ji na loopback nebo vyhrazenou správní síť. Pokud je nutná vzdálená správa, použijte kontrolovanou VPN nebo bastion host.

2. Omezte přístup na každé síťové vrstvě

Nastavte pravidla firewallu, cloudových security groups, kontejnerové sítě i reverzní proxy tak, aby povolovala pouze výslovně důvěryhodné zdroje. Nespoléhejte na interní trasu ani na hlavičku, která pouze vypadá jako místní, jako na důkaz identity.

3. Ověřujte a přepisujte proxy hlavičky

Na hranici reverzní proxy odmítejte neočekávané hodnoty Host. Pokud je proxy nezbytná, přepište upstreamovou hlavičku Host na známou pevnou hodnotu; nepředávejte bez kontroly hodnotu dodanou klientem. Hlavičky s informací o IP adrese klienta považujte za důvěryhodné pouze tehdy, pokud přicházejí z kontrolované proxy.

4. Přidejte autentizaci nezávislou na hlavičce Host

Správní a interní RPC operace chraňte skutečným ověřením identity a autorizací — například silně autentizovanou vstupní bránou, mTLS a řízením přístupu pro jednotlivé operace. Kontrola hlavičky Host může pomoci se směrováním, nikdy však nesmí být jediným ověřením identity.

5. Omezte zjišťování poskytovatelů a odchozí komunikaci

Pokud funkci nepotřebujete, zakažte nebo omezte llm.discoverModels. Tam, kde je zjišťování modelů nutné, povolte pouze schválené adresy poskytovatelů a nastavte pravidla pro odchozí komunikaci. Zablokování přístupu k citlivým interním cílům a cloudovým metadatovým službám může snížit dopad zneužití této cesty jako prostředku pro server-side request forgery (SSRF). Dokumentace LLM v DSH potvrzuje, že registrace poskytovatelů a zjišťování modelů patří mezi dostupné funkce. 23

6. Ověřte opravu podle oficiálních informací

Dostupné zdroje označují jako dotčenou verzi 0.1.1-rc.2 a ukazují, že projekt vydával i novější verze. Neprokazují však, že konkrétní pozdější sestavení tuto zranitelnost skutečně opravuje. Před považováním aktualizace za dostatečné řešení proto ověřte aktuální poznámky k vydání a bezpečnostní upozornění DeepSeeku s výslovně potvrzenou nápravou. Vlastní bezpečnostní dokumentace projektu dál uvádí, že Harness je experimentální a není připravený pro produkční nasazení. 410

7. Pokud byla služba vystavena, hledejte známky průniku

Projděte logy reverzní proxy a DSH. Zaměřte se na neobvyklé požadavky na /api, lokálně vypadající podvržené hodnoty Host, neočekávané registrace poskytovatelů modelů, spuštění procesů, změny souborů a odchozí spojení. Otočte všechny přihlašovací údaje, ke kterým měl proces DSH přístup. Pokud se objeví důkazy o spuštění příkazů nebo přetrvávajícím napadení, postižený počítač či kontejner izolujte a znovu sestavte — nespoléhejte na to, že pouhý restart služby kompromitaci odstranil.