QVD-2026-57410: Cara Host Header Palsu Membobol DeepSeek Harness

QVD-2026-57410 adalah kerentanan kritis yang dilaporkan terdapat pada DeepSeek Harness (DSH) 0.1.1-rc.2. Laporan yang terkait dengan QiAnXin menyebutkan bahwa celah ini memungkinkan remote code execution (RCE) tanpa autentikasi dan memiliki skor CVSS 3.0 sebesar 9,8. Akar masalahnya adalah keputusan kepercayaan pada endpoint /api yang dapat bergantung pada HTTP Host header yang dikendalikan klien—mekanisme yang tidak layak dijadikan pengganti autentikasi. 1924

Risiko nyata sangat bergantung pada cara DSH dipasang. Dokumentasi DeepSeek menyatakan bahwa perintah web menjalankan antarmuka pada 127.0.0.1:3080 secara default, sehingga akses langsung dari jaringan lain terbatas. Namun, risikonya meningkat tajam ketika layanan diikat ke alamat non-loopback atau diteruskan melalui Docker, reverse proxy, tunnel, VPN, LAN, maupun ingress. 1118

Bagaimana Host header palsu melewati pembatasan /api?

Desain yang terdampak berupaya membedakan permintaan lokal dan jarak jauh berdasarkan informasi host pada permintaan HTTP. Masalahnya, Host header dikirim oleh pihak yang membuat permintaan dan dapat dipalsukan.

Penyerang yang dapat menjangkau layanan bisa mengirim nilai host yang tampak seperti alamat lokal. DSH kemudian dapat menganggap permintaan tersebut berasal dari lingkungan tepercaya dan mengizinkannya melewati batas kepercayaan bergaya loopback pada lapisan /api. 1924

Secara garis besar, rantai serangannya dilaporkan berlangsung sebagai berikut:

1. Penyerang menjangkau endpoint web atau manajemen DSH yang terekspos.
2. Penyerang mengirim permintaan dengan Host header palsu yang menyerupai host lokal.
3. Pembatasan /api yang seharusnya melindungi operasi internal berhasil dilewati.
4. Fungsi RPC internal yang dibatasi dipanggil.
5. Rute penyedia model yang dikendalikan penyerang didaftarkan atau digunakan.
6. Kemampuan Agent DSH diarahkan untuk menjalankan perintah pada host. 1920

Inilah yang membuat celah ini jauh lebih serius daripada masalah routing atau kebocoran informasi biasa. Bypass tersebut dapat menjangkau fungsi yang memang dirancang untuk mengoperasikan agen AI dengan kemampuan sistem yang luas.

Mengapa celah ini bisa berujung RCE?

DeepSeek menyebut Harness sebagai perangkat lunak eksperimental dalam tahap pratinjau pengembang yang belum menjalani audit keamanan. Peringatan keselamatannya menjelaskan bahwa proyek ini dapat menjalankan kode dan perintah yang dihasilkan model, memuat plugin pihak ketiga, serta mengakses jaringan, proses, kredensial, dan berkas yang tersedia bagi aplikasi. 4

Subsistem LLM DSH juga menyediakan kemampuan pendaftaran penyedia model dan penemuan model, termasuk operasi jarak jauh discoverModels. 23 Dalam rantai eksploitasi yang dilaporkan, penyedia model yang dikendalikan penyerang dapat digunakan untuk memasok input yang kemudian mengarahkan kemampuan eksekusi perintah milik Agent. 19

Eksploitasi yang berhasil tidak otomatis memberikan akses root. Perintah akan dijalankan dengan hak akses proses layanan DSH. Meski demikian, hak akses tersebut bisa cukup untuk:

• membaca atau mengubah berkas yang dapat diakses akun layanan;
• menggunakan kredensial atau API key yang tersedia bagi proses DSH;
• menjalankan proses baru atau mengubah data aplikasi;
• membuat koneksi keluar ke jaringan lain; dan
• menanam persistensi atau perangkat lunak berbahaya jika konfigurasi memungkinkan.

Dampak akhirnya bergantung pada deployment. Risiko dapat membesar apabila container berjalan dengan hak istimewa, Docker socket dipasang ke container, layanan memiliki akses berlebihan ke sistem berkas, atau kredensial cloud tersedia bagi proses tersebut. Informasi yang tersedia belum membuktikan bahwa setiap instalasi otomatis berujung pada pengambilalihan penuh host.

Deployment seperti apa yang paling berisiko?

Operator sebaiknya segera meninjau konfigurasi berikut:

• DSH diikat ke 0.0.0.0 atau alamat non-loopback lain.
• Docker atau runtime container lain memublikasikan port 3080 di luar host lokal.
• Reverse proxy meneruskan API manajemen ke Internet atau LAN yang tidak tepercaya.
• Tunnel, VPN, atau ingress membuat layanan dapat dijangkau pengguna tanpa autentikasi kuat.
• Proxy menerima nilai Host arbitrer dari klien atau meneruskannya ke upstream tanpa perubahan.

Status “internal” saja bukanlah kontrol otorisasi. Jika endpoint dapat dijangkau dan header permintaan yang relevan bisa dipengaruhi, penyerang tetap dapat mencoba bypass tersebut.

PoC sudah tersedia, tetapi belum ada bukti eksploitasi aktif

Sejumlah laporan menyatakan bahwa materi proof-of-concept (PoC) atau detail teknis QVD-2026-57410 telah tersedia untuk publik. 192027 Kondisi ini memperpendek waktu yang tersedia bagi operator untuk melakukan mitigasi, tetapi keberadaan PoC tidak sama dengan bukti bahwa instalasi tertentu telah disusupi.

Laporan yang tersedia menyebutkan belum ada pengamatan eksploitasi di dunia nyata dan belum ada bukti yang mengaitkan celah ini dengan aktor ancaman atau kampanye tertentu pada saat pengungkapan. 1924 Temuan tersebut hanya merupakan gambaran pada waktu pengungkapan, bukan jaminan bahwa semua instalasi aman. Instance yang terekspos tetap perlu diperiksa untuk menemukan permintaan mencurigakan, pendaftaran penyedia model yang tidak dikenal, proses baru, perubahan berkas, dan koneksi keluar yang tidak biasa.

Perlu diperhatikan pula bahwa QVD-2026-57410 bukan nomor CVE. CVE-2026-57410 merujuk pada kerentanan eskalasi hak akses yang tidak berkaitan di MailerPress, menurut entri NVD. 17

Langkah yang perlu dilakukan operator

1. Hentikan paparan jaringan terlebih dahulu

Jangan publikasikan layanan API dan manajemen DSH ke Internet. Ikat layanan ke loopback atau jaringan manajemen khusus. Jika akses jarak jauh diperlukan, gunakan VPN terkontrol atau bastion host.

2. Batasi akses di setiap lapisan jaringan

Terapkan aturan firewall, security group cloud, jaringan container, dan reverse proxy yang hanya mengizinkan sumber tepercaya secara eksplisit. Jangan menganggap rute internal atau header yang tampak lokal sebagai bukti identitas.

3. Validasi dan timpa header di reverse proxy

Tolak nilai Host yang tidak sesuai di proxy terdepan. Jika proxying tetap diperlukan, timpa Host header upstream dengan nilai tetap yang diketahui, alih-alih meneruskan nilai dari klien secara mentah. Header IP klien yang diteruskan juga hanya boleh dipercaya jika berasal dari proxy yang dikendalikan operator.

4. Tambahkan autentikasi yang tidak bergantung pada Host

Lindungi operasi manajemen dan RPC internal dengan autentikasi serta otorisasi yang nyata, misalnya gateway dengan autentikasi kuat, mTLS, dan kontrol akses per operasi. Validasi Host header dapat membantu routing, tetapi tidak boleh menjadi satu-satunya pemeriksaan identitas.

5. Kurangi risiko penemuan penyedia model dan koneksi keluar

Nonaktifkan atau batasi llm.discoverModels jika tidak diperlukan. Jika discovery penyedia model dibutuhkan, gunakan daftar izin endpoint penyedia dan kontrol egress keluar. Pembatasan akses ke alamat internal sensitif serta endpoint metadata cloud dapat mengurangi dampak apabila jalur discovery disalahgunakan sebagai primitive mirip SSRF. Dokumentasi LLM DSH mengonfirmasi bahwa pendaftaran penyedia dan penemuan model merupakan kemampuan yang tersedia. 23

6. Pastikan perbaikan melalui informasi rilis resmi

Sumber yang tersedia mengidentifikasi versi 0.1.1-rc.2 sebagai versi terdampak dan menunjukkan adanya aktivitas rilis setelahnya, tetapi belum memastikan bahwa build tertentu telah memperbaiki kerentanan ini. Periksa catatan rilis dan advisori keamanan DeepSeek untuk mendapatkan versi yang secara eksplisit dinyatakan telah diperbaiki sebelum menganggap upgrade sudah cukup. Peringatan keselamatan proyek juga masih menyebut Harness sebagai perangkat lunak eksperimental dan belum siap produksi. 410

7. Lakukan perburuan indikasi kompromi dan rotasi kredensial

Jika layanan pernah dapat dijangkau dari jaringan tidak tepercaya, periksa log reverse proxy dan DSH untuk menemukan permintaan /api yang tidak wajar, nilai Host lokal yang dipalsukan, pendaftaran penyedia model yang tidak dikenal, peluncuran proses, perubahan berkas, serta koneksi keluar yang mencurigakan.

Rotasi semua kredensial yang dapat diakses proses DSH. Jika ditemukan bukti eksekusi perintah atau persistensi, isolasi lalu bangun ulang host atau container yang terdampak. Jangan berasumsi bahwa me-restart layanan sudah menghapus kompromi.