QVD-2026-57410: חולשת Host Header חמורה ב־DeepSeek Harness מאפשרת הרצת פקודות מרחוק

QVD-2026-57410 היא חולשת אבטחה קריטית שדווחה ב־DeepSeek Harness (DSH) בגרסה 0.1.1-rc.2. לפי דיווחים המקושרים למרכז מודיעין האיומים של QiAnXin, מדובר בהרצת קוד מרחוק (RCE) ללא אימות, עם ציון CVSS 3.0 של 9.8. שורש הבעיה הוא החלטת אמון של ממשק /api, שעלולה להסתמך על כותרת HTTP מסוג Host — ערך שנשלט בידי הלקוח ואינו תחליף לאימות. 1924

הסיכון בפועל תלוי באופן שבו DSH נפרס. הפקודה המתועדת של DeepSeek להפעלת ממשק ה־Web מאזינה כברירת מחדל ב־127.0.0.1:3080, כלומר בממשק הלולאה המקומית בלבד. מצב זה מצמצם את האפשרות לגישה מרחוק ישירה. הסיכון גדל באופן משמעותי כאשר השירות נקשר לכתובת שאינה מקומית, או נחשף באמצעות Docker, פרוקסי הפוך, מנהרה, VPN, רשת מקומית או Ingress. 1118

איך פועלת עקיפת ה־Host Header?

העיצוב הפגיע מנסה להבחין בין בקשות מקומיות לבקשות מרוחקות באמצעות מידע על ה־Host של הבקשה. אלא שכותרת זו נשלחת על ידי הלקוח וניתן לזייף אותה. תוקף שמסוגל להגיע לשירות יכול להציג ערך שנראה כמו כתובת מקומית, ולגרום לשכבת /api להתייחס לבקשה כאילו הגיעה ממקור מהימן. בדיווחים תואר הדבר כעקיפה של גבול האמון שנועד להגביל את DSH למחשב המקומי. 1924

ברמה גבוהה, שרשרת התקיפה המדווחת נראית כך:

1. התוקף מגיע לנקודת קצה חשופה של ממשק ה־Web או הניהול של DSH.
2. הוא שולח בקשה עם כותרת Host מזויפת שנראית מקומית.
3. הבדיקה שנועדה להגביל את /api עוקפת את מנגנון ההפרדה.
4. התוקף מפעיל פונקציונליות RPC פנימית ומוגבלת.
5. הוא רושם או משתמש בנתיב של ספק מודל שנשלט על ידו.
6. יכולות ה־Agent של DSH מונעות לבצע פקודות במערכת המארחת. 1920

לכן לא מדובר רק בבאג ניתוב או בחשיפת מידע. העקיפה מגיעה לפונקציות שנועדו להפעיל סוכן AI בעל יכולות מערכתיות, ובהן ביצוע פקודות, גישה לקבצים וחיבורי רשת.

מדוע החולשה עלולה להפוך ל־RCE?

DeepSeek מגדירה את Harness כתוכנת ניסוי בתצוגה מקדימה למפתחים, ומציינת כי היא לא עברה ביקורת אבטחה. הודעת הבטיחות של הפרויקט מזהירה שהמערכת יכולה להריץ קוד ופקודות שנוצרו על ידי מודל, וכן לגשת לרשת, לתהליכים, לאישורים ולקבצים שהועמדו לרשותה. 4

תת־מערכת ה־LLM תומכת גם ברישום ספקים ובגילוי מודלים, לרבות פעולת RPC מרוחקת בשם discoverModels. 23 לפי שרשרת הניצול שדווחה, ספק שנשלט בידי התוקף יכול לספק את הקלט הדרוש כדי להגיע ליכולות ביצוע הפקודות של הסוכן. 19

ניצול מוצלח לא מעניק אוטומטית הרשאות root. הפקודות יופעלו בהרשאות של תהליך שירות DSH. עם זאת, הרשאות כאלה עשויות להספיק כדי לקרוא או לשנות קבצים נגישים, להשתמש באישורים או במפתחות API, להפעיל תהליכים, לשנות נתוני אפליקציה וליצור חיבורי רשת יוצאים.

ההשפעה הסופית תלויה בתצורת הפריסה: למשל, האם לתהליך יש גישה רחבה למערכת הקבצים, האם הקונטיינר פועל בהרשאות חריגות, האם הוצמד אליו Docker socket, או האם הוא יכול לגשת לאישורי ענן. המידע שסופק אינו מוכיח שכל התקנה תוביל בהכרח להשתלטות מלאה על המארח.

אילו התקנות חשופות במיוחד?

אלה תצורות שמומלץ לבדוק בדחיפות:

• DSH שמאזין ב־0.0.0.0 או בכתובת אחרת שאינה loopback.
• Docker או סביבת קונטיינרים אחרת שמפרסמת את פורט 3080 מעבר למחשב המקומי.
• פרוקסי הפוך שמעביר את ממשק הניהול לאינטרנט או לרשת מקומית שאינה מהימנה.
• מנהרה, VPN או Ingress שמאפשרים גישה למשתמשים שאינם מזוהים באימות חזק.
• פרוקסי שמקבל ערכי Host שרירותיים מהלקוח או מעביר אותם לשרת כפי שהם.

העובדה ששירות מוגדר כ״פנימי״ אינה אמצעי הרשאה בפני עצמו. כל תוקף שמסוגל להגיע לנקודת הקצה ולהשפיע על הכותרות הרלוונטיות עשוי לנסות את העקיפה.

PoC פומבי, סטטוס CVE ומה ידוע על ניצול בפועל

כמה דיווחים מציינים כי חומרי הוכחת היתכנות (PoC) או פרטים טכניים על QVD-2026-57410 זמינים לציבור. 192027 מצב זה מגביר את הדחיפות לצמצום החשיפה, אך עצם קיומו של PoC אינו הוכחה לכך שהתקנה מסוימת נפרצה.

לפי הדיווחים שסופקו, בזמן החשיפה לא נצפה ניצול נרחב של החולשה בטבע, ולא נמצאו ראיות שקישרו אותה לשחקן איום או לקמפיין מוכר. 1924 מדובר בתמונת מצב מוגבלת ולא בערובה לבטיחות. התקנות חשופות עדיין צריכות להיבדק מול בקשות חריגות, רישומי ספקים חדשים, תהליכים בלתי צפויים וחיבורי רשת יוצאים.

חשוב גם להבחין בין המזהים: QVD-2026-57410 הוא מזהה QVD, ולא מזהה CVE. הרשומה CVE-2026-57410 מתייחסת, לפי מאגר NVD, לחולשת העלאת הרשאות שאינה קשורה למוצר MailerPress. 17

מה על מפעילי DSH לעשות?

1. להסיר תחילה את החשיפה מהרשת

הפסיקו לפרסם את שירות הניהול וה־API של DSH באינטרנט. קשרו אותו ל־loopback או לרשת ניהול ייעודית, והשתמשו ב־VPN מבוקר או בשרת bastion אם נדרשת גישה מרחוק.

2. להגביל גישה בכל שכבות הרשת

החילו כללי Firewall, קבוצות אבטחה בענן, רשת קונטיינרים ופרוקסי הפוך, כך שרק מקורות מהימנים ומוגדרים מראש יוכלו לגשת לשירות. אין להסתמך על נתיב ״פנימי״ או על כותרת שנראית מקומית כהוכחה לזהות המשתמש.

3. לאמת ולדרוס כותרות בפרוקסי

דחו ערכי Host בלתי צפויים בפרוקסי הקצה. כאשר נדרש להעביר את הבקשה לשרת פנימי, דרסו את כותרת ה־Host בערך קבוע ומוכר, במקום להעביר באופן עיוור את הערך שסיפק הלקוח. יש לתת אמון בכותרות של כתובת IP מועברת רק כאשר הן מגיעות מפרוקסי שבשליטתכם.

4. להוסיף אימות שאינו תלוי ב־Host

הגנו על פעולות ניהול ועל RPC פנימי באמצעות אימות והרשאות אמיתיים — למשל שער עם אימות חזק, mTLS והרשאות נפרדות לכל פעולה. בדיקת Host יכולה לסייע בניתוב, אך אסור שתהיה מנגנון הזהות היחיד.

5. לצמצם סיכון מגילוי ספקים ומחיבורים יוצאים

השביתו או הגבילו את llm.discoverModels כאשר אין בו צורך. אם נדרש גילוי ספקים, הגדירו רשימת היתרים לנקודות הקצה של הספקים והפעילו בקרות egress על חיבורים יוצאים. חסימת גישה ליעדים פנימיים רגישים ולשירותי מטא־דאטה בענן יכולה לצמצם את הנזק אם מסלול גילוי הספק ינוצל כפרימיטיב של SSRF. תיעוד ה־LLM של DSH מאשר שרישום ספקים וגילוי מודלים הם יכולות חשופות במערכת. 23

6. לאמת את התיקון מול פרסום רשמי

המקורות שסופקו מזהים את 0.1.1-rc.2 כגרסה הפגיעה ומראים פעילות גם בגרסאות מאוחרות יותר, אך אינם קובעים שגרסה מאוחרת מסוימת אכן מתקנת את החולשה. בדקו את הודעות השחרור ואת הודעות האבטחה העדכניות של DeepSeek, וחפשו תיקון שמאושר במפורש לפני שתניחו ששדרוג מספיק. הודעת הבטיחות של הפרויקט עדיין מגדירה את Harness כתוכנה ניסיונית שלא מיועדת לייצור. 410

7. לבצע ציד איומים ולסובב סודות במקרה של חשיפה

בדקו את לוגי הפרוקסי ואת לוגי DSH עבור בקשות חריגות ל־/api, ערכי Host מזויפים בסגנון מקומי, רישומי ספקים לא צפויים, הפעלת תהליכים, שינויים בקבצים וחיבורי רשת יוצאים. החליפו אישורים, סיסמאות ומפתחות שהיו נגישים לתהליך DSH. אם נמצאו סימנים לביצוע פקודות או להתמדה של תוקף, בידדו ובנו מחדש את המארח או הקונטיינר; אל תניחו שהפעלה מחדש של השירות הסירה את החדירה.