QVD-2026-57410: väärennetty Host-otsake voi avata tien DeepSeek Harnessin etähallintaan

QVD-2026-57410 on DeepSeek Harnessin (DSH) versioon 0.1.1-rc.2 liitetty raportoitu kriittinen haavoittuvuus. QiAnXin Threat Intelligence Centerin yhteydessä julkaistujen raporttien mukaan kyseessä on todentamaton etäkoodinsuoritushaavoittuvuus, jonka CVSS 3.0 -pistemäärä on 9.8. Ongelman ydin on siinä, että DSH:n /api-rajapinnan luottamuspäätös voi perustua asiakkaan hallitsemaan HTTP Host -otsakkeeseen – eli tietoon, joka ei sovellu todisteeksi käyttäjän tai pyynnön aitoudesta. 1924

Käytännön riski riippuu ennen kaikkea käyttöönotosta. DeepSeekin dokumentoima verkkokomento käynnistää käyttöliittymän oletuksena osoitteeseen 127.0.0.1:3080, joka viittaa vain paikalliseen tietokoneeseen. Suora etäkäyttö on tällöin rajallista. Tilanne muuttuu olennaisesti vaarallisemmaksi, jos palvelu sidotaan muuhun kuin loopback-osoitteeseen tai sitä välitetään Dockerin, käänteisvälityspalvelimen, tunnelin, VPN:n, lähiverkon tai ingressin kautta. 1118

Näin Host-otsakkeen ohitus toimii

Haavoittuvassa suunnittelussa paikalliset pyynnöt pyritään erottamaan etäpyynnöistä pyynnön isäntätietojen perusteella. HTTP Host -otsake tulee kuitenkin pyynnön lähettäjältä, ja lähettäjä voi muuttaa sen haluamakseen. Palveluun pääsevä hyökkääjä voi siten lähettää paikalliselta näyttävän Host-arvon ja saada /api-kerroksen käsittelemään pyynnön luotettuna. Raporteissa tätä kuvataan DSH:n loopback-tyyppisen luottamusrajan ohitukseksi. 1924

Raportoitu hyökkäysketju etenee pääpiirteissään näin:

1. Hyökkääjä saavuttaa verkosta julkaistun DSH:n verkko- tai hallintarajapinnan.
2. Hän lähettää pyynnön väärennetyllä, paikalliselta näyttävällä Host-otsakkeella.
3. /api-rajapinnan sisäisille toiminnoille tarkoitettu rajoitus ohitetaan.
4. Hyökkääjä kutsuu rajoitettuja RPC-toimintoja.
5. Hän rekisteröi hyökkääjän hallitseman mallipalveluntarjoajan tai käyttää sellaista.
6. DSH:n agenttitoiminnot saadaan suorittamaan komentoja palvelimen käyttöjärjestelmässä. 1920

Tämän vuoksi kyse ei ole vain reititys- tai tietovuoto-ongelmasta. Ohitus voi ulottua toimintoihin, joiden tarkoitus on käyttää järjestelmätason kykyjä omaavaa tekoälyagenttia.

Miksi seurauksena voi olla etäkoodin suoritus?

DeepSeek kuvaa Harnessia kokeelliseksi kehittäjäesiversioksi, jota ei ole auditoitu tietoturvan näkökulmasta. Projektin turvallisuusilmoituksen mukaan ohjelmisto voi suorittaa mallin tuottamaa koodia ja komentoja sekä käyttää sille saatavilla olevia verkkoresursseja, prosesseja, tunnuksia ja tiedostoja. 4

DSH:n LLM-alijärjestelmä tukee myös palveluntarjoajien rekisteröintiä ja mallien etsintää, mukaan lukien discoverModels-etätoiminto. 23 Raportoidussa hyökkäysketjussa hyökkääjän hallitsemaa palveluntarjoajaa voidaan käyttää syötteen tarjoamiseen, jonka kautta agentin komentojen suorituskyvyt saavutetaan. 19

Onnistunut hyökkäys ei automaattisesti tarkoita pääkäyttäjän oikeuksia. Komennot suoritettaisiin DSH-palveluprosessin oikeuksilla. Nämä oikeudet voivat silti riittää esimerkiksi seuraaviin toimintoihin:

• prosessin luettavissa olevien tiedostojen lukeminen tai muuttaminen
• saatavilla olevien tunnusten ja API-avainten käyttäminen
• uusien prosessien käynnistäminen
• sovellustietojen muuttaminen
• yhteyksien avaaminen ulospäin
• pysyvyyden tai haittaohjelman asentaminen.

Lopullinen vaikutus riippuu ympäristöstä. Riski kasvaa esimerkiksi silloin, kun kontti on määritetty etuoikeutetuksi, sille on liitetty Dockerin socket-tiedosto tai palveluprosessilla on laajat tiedosto- tai pilvitunnusoikeudet. Saatavilla olevat lähteet eivät kuitenkaan osoita, että jokainen käyttöönotto johtaisi automaattisesti koko isäntäkoneen haltuunottoon.

Mitkä käyttöönotot ovat erityisen alttiita?

Seuraavat kokoonpanot kannattaa ottaa kiireelliseen tarkistukseen:

• DSH kuuntelee osoitteessa 0.0.0.0 tai muussa kuin loopback-osoitteessa.
• Docker tai muu konttien ajonaikainen ympäristö julkaisee portin 3080 paikallisen koneen ulkopuolelle.
• Käänteisvälityspalvelin välittää hallinta-API:n internetiin tai epäluotettuun lähiverkkoon.
• Tunneli, VPN tai ingressi tekee palvelusta sellaisten käyttäjien saavutettavan, joita ei vahvasti tunnisteta.
• Välityspalvelin hyväksyy asiakkaan mielivaltaiset Host-arvot tai välittää ne sellaisenaan eteenpäin.

Se, että palvelu on niin sanotusti sisäinen, ei yksinään ole käyttöoikeuksien hallintaa. Jos hyökkääjä pääsee rajapintaan ja voi vaikuttaa pyyntöjen otsakkeisiin, hän voi ainakin yrittää ohitusta.

Julkinen PoC, CVE-tilanne ja näyttö hyväksikäytöstä

Useat raportit kertovat QVD-2026-57410:n PoC-materiaalin eli toiminnan todentamiseen tarkoitetun esimerkkikoodin tai teknisten yksityiskohtien olevan julkisesti saatavilla. 192027 Tämä lisää torjunnan kiireellisyyttä, mutta julkinen PoC ei ole sama asia kuin näyttö tietyn asennuksen vaarantumisesta.

Toimitettujen lähteiden mukaan haavoittuvuutta ei ilmoituksen aikaan ollut havaittu hyväksikäytettävän laajasti luonnossa, eikä sitä yhdistetty tunnettuun uhkatoimijaan tai kampanjaan. 1924 Kyse on kuitenkin vain rajatusta havaintohetkestä, ei takeesta siitä, että järjestelmät ovat turvassa. Verkosta saavutettavat instanssit on tutkittava epäilyttävien pyyntöjen, odottamattomien palveluntarjoajarekisteröintien, uusien prosessien ja poikkeavien ulospäin suuntautuvien yhteyksien varalta.

QVD-2026-57410 on QVD-tunniste, ei CVE-tunniste. Samannumeroinen CVE-2026-57410 koskee NVD:n merkinnän mukaan erillistä MailerPressin oikeuksien korotukseen liittyvää haavoittuvuutta. 17

Mitä ylläpitäjän kannattaa tehdä?

1. Poista verkkonäkyvyys ensin

Lopeta DSH:n hallinta- ja API-palvelun julkaiseminen avoimeen internetiin. Sido palvelu loopback-osoitteeseen tai erilliseen hallintaverkkoon. Jos etähallintaa tarvitaan, käytä hallittua VPN-yhteyttä tai bastion-palvelinta eli rajattua välikonetta.

2. Rajoita pääsy kaikilla verkkokerroksilla

Tee palomuuriin, pilven security group -sääntöihin, konttiverkkoon ja käänteisvälityspalvelimeen sallintalistat, jotka hyväksyvät vain erikseen luotetut lähteet. Älä luota sisäiseen reittiin tai paikalliselta näyttävään otsakkeeseen käyttäjän todentamisessa.

3. Tarkista ja ylikirjoita välityspalvelimen otsakkeet

Hylkää reunalla odottamattomat Host-arvot. Jos välitys on tarpeen, korvaa eteenpäin lähetettävä Host-otsake tunnetulla kiinteällä arvolla sen sijaan, että asiakkaan arvo välitettäisiin sokeasti. Luota välitettyihin asiakas-IP-otsakkeisiin vain silloin, kun ne tulevat hallitulta välityspalvelimelta.

4. Lisää Host-otsakkeesta riippumaton tunnistautuminen

Suojaa hallinta- ja sisäiset RPC-toiminnot aidolla tunnistautumisella ja valtuutuksella. Mahdollisia ratkaisuja ovat vahvasti tunnistettu yhdyskäytävä, mTLS eli molemminpuolinen varmenteisiin perustuva tunnistus sekä toimintokohtaiset käyttöoikeudet. Host-otsakkeen tarkistus voi tukea reititystä, mutta se ei saa koskaan olla ainoa identiteetin tarkistus.

5. Pienennä palveluntarjoajien etsinnän ja ulospäin suuntautuvien yhteyksien riskiä

Poista llm.discoverModels käytöstä tai rajoita sitä, jos toimintoa ei tarvita. Jos mallipalveluntarjoajien etsintä on välttämätöntä, salli vain ennalta hyväksytyt palveluntarjoajien osoitteet ja rajoita lähtevää liikennettä. Pääsyn estäminen arkaluontoisiin sisäverkon ja pilvipalvelujen metatietokohteisiin voi pienentää vaikutuksia, jos palveluntarjoajien etsintää käytetään palvelimelta tehtävien pyyntöjen väylänä. DSH:n LLM-dokumentaatio vahvistaa, että palveluntarjoajien rekisteröinti ja mallien etsintä ovat ohjelmiston käytettävissä olevia toimintoja. 23

6. Varmista korjaus virallisista julkaisutiedoista

Saatavilla olevat lähteet nimeävät version 0.1.1-rc.2 haavoittuvaksi ja osoittavat, että myöhempiä julkaisuja on tehty, mutta ne eivät vahvista, että jokin tietty myöhempi versio korjaa juuri tämän haavoittuvuuden. Tarkista DeepSeekin ajantasaiset julkaisutiedot ja tietoturvatiedotteet ja päivitä vasta sellaiselle versiolle, jonka korjaus on nimenomaisesti vahvistettu. Projektin oma turvallisuusilmoitus varoittaa edelleen, että Harness on kokeellinen eikä tuotantokäyttöön valmis. 410

7. Tutki lokit ja vaihda tunnukset, jos palvelu on ollut alttiina

Tarkista käänteisvälityspalvelimen ja DSH:n lokit poikkeavien /api-pyyntöjen, paikalliselta näyttävien väärennettyjen Host-arvojen, odottamattomien mallipalveluntarjoajien, uusien prosessien, tiedostomuutosten ja epätavallisten ulospäin suuntautuvien yhteyksien varalta. Kierrätä kaikki tunnukset, joihin DSH-prosessilla on ollut pääsy. Jos komennon suorituksesta tai pysyvyydestä on viitteitä, eristä ja rakenna kyseinen isäntä tai kontti uudelleen sen sijaan, että olettaisit pelkän palvelun uudelleenkäynnistyksen poistaneen hyökkääjän.