QVD-2026-57410 해설: DeepSeek Harness의 Host 헤더 결함이 원격 코드 실행으로 이어지는 과정

QVD-2026-57410은 DeepSeek Harness(DSH) 0.1.1-rc.2에서 보고된 인증 없는 원격 코드 실행(RCE) 취약점이다. QiAnXin(치안신) 관련 보고서는 이 취약점에 CVSS 3.0 기준 9.8점을 부여했다. 핵심 문제는 DSH의 /api 접근 신뢰 판단이 공격자가 직접 지정할 수 있는 HTTP Host 헤더에 의존할 수 있다는 점이다. Host 헤더는 인증 수단이 될 수 없는데도 로컬 요청처럼 꾸민 값을 받아들이면 내부 기능이 노출될 수 있다. 1924

다만 실제 위험도는 배포 방식에 크게 좌우된다. DeepSeek의 문서상 웹 명령은 기본적으로 127.0.0.1:3080에서 실행되므로 같은 컴퓨터 외부에서는 바로 접근하기 어렵다. 반대로 서비스가 비루프백 인터페이스에 바인딩됐거나 Docker, 역방향 프록시, 터널, VPN, 사내망 또는 인그레스를 통해 전달된다면 공격 표면이 크게 넓어진다. 1118

Host 헤더 위조가 신뢰 경계를 무너뜨리는 방식

영향을 받은 설계는 요청의 호스트 정보를 이용해 로컬 요청과 원격 요청을 구분하려 한 것으로 보고됐다. 그러나 Host 헤더는 요청자가 원하는 값으로 설정할 수 있다. 서비스에 도달할 수 있는 공격자는 로컬 주소처럼 보이는 값을 넣어 /api 계층이 요청을 신뢰하도록 유도할 수 있다. 보고서들은 이를 DSH의 루프백 기반 접근 제한 우회로 설명한다. 1924

공개된 설명을 기준으로 한 공격 흐름은 다음과 같다.

1. 외부에 노출된 DSH 웹 또는 관리 엔드포인트에 접근한다.
2. 로컬 요청처럼 보이도록 위조한 Host 헤더를 포함해 요청을 보낸다.
3. 내부 작업을 보호하기 위해 마련된 /api 제한을 우회한다.
4. 제한된 내부 RPC 기능을 호출한다.
5. 공격자가 통제하는 모델 제공자 경로를 등록하거나 사용한다.
6. DSH의 에이전트 기능을 움직여 호스트에서 명령을 실행한다. 1920

따라서 이 문제는 단순한 라우팅 오류나 정보 노출에 그치지 않는다. DSH의 에이전트는 시스템 명령 실행과 파일 접근 같은 기능을 수행하도록 설계됐기 때문에, 인증 우회가 고위험 기능으로 연결될 수 있다.

왜 원격 코드 실행이 가능한가

DeepSeek는 Harness를 실험적 개발자 프리뷰 소프트웨어로 설명하며, 보안 감사를 받지 않았고 운영 환경에서 안전한 제품으로 취급해서는 안 된다고 안내한다. 프로젝트는 모델이 생성한 코드와 명령을 실행하고, 허용된 네트워크·프로세스·자격 증명·파일에 접근할 수 있다. 4

DSH의 LLM 하위 시스템에는 제공자 등록과 모델 검색 기능이 포함돼 있으며, discoverModels 원격 작업도 지원된다. 23 보고된 공격 시나리오에서는 공격자가 통제하는 제공자를 등록해 에이전트의 명령 실행 기능에 도달하는 입력을 제공할 수 있다고 설명한다. 19

공격에 성공했다고 해서 자동으로 root 권한을 얻는 것은 아니다. 명령은 DSH 서비스 프로세스의 권한으로 실행된다. 그러나 해당 계정이 접근할 수 있는 파일을 읽거나 변경하고, 저장된 자격 증명과 API 키를 탈취하며, 프로세스를 실행하거나 애플리케이션 데이터를 바꾸고, 외부 네트워크로 연결하는 일은 가능할 수 있다.

최종 피해 범위는 배포 설정에 달려 있다. 예를 들어 과도한 파일 시스템 권한, 권한 있는 컨테이너, 마운트된 Docker 소켓, 클라우드 자격 증명 접근 권한이 있다면 영향이 더 커질 수 있다. 현재 제공된 보고만으로 모든 설치 환경이 곧바로 호스트 전체 장악으로 이어진다고 단정할 수는 없다.

특히 점검이 필요한 배포 환경

다음과 같은 설정은 우선적으로 확인해야 한다.

• DSH가 0.0.0.0 또는 다른 비루프백 주소에 바인딩된 경우
• Docker나 다른 컨테이너 런타임이 3080 포트를 로컬 호스트 밖으로 공개한 경우
• 역방향 프록시가 관리 API를 인터넷이나 신뢰할 수 없는 사내망으로 전달하는 경우
• 강력한 인증 없이 터널, VPN 또는 인그레스를 통해 서비스에 접근할 수 있는 경우
• 프록시가 임의의 클라이언트 Host 값을 허용하거나 그대로 upstream에 전달하는 경우

서비스가 ‘내부망’에 있다는 사실만으로는 충분한 접근 통제가 되지 않는다. 엔드포인트에 도달할 수 있고 관련 헤더를 조작할 수 있는 공격자는 신뢰 경계 우회를 시도할 수 있다.

공개 PoC와 실제 악용 여부

여러 보고서는 QVD-2026-57410의 개념증명(PoC) 또는 기술 세부 정보가 공개됐다고 전한다. 192027 이는 격리와 대응을 서둘러야 할 이유지만, PoC가 공개됐다는 사실 자체가 특정 설치 환경이 이미 침해됐다는 증거는 아니다.

제공된 보고 기준으로는 공개 당시 실제 공격에 악용됐다는 관측이나, 알려진 위협 행위자 또는 캠페인과의 연관성을 입증하는 증거는 확인되지 않았다. 1924 다만 이는 특정 시점의 제한적인 관측이다. 외부에 노출된 인스턴스는 비정상적인 요청, 예상하지 못한 제공자 등록, 새로 생성된 프로세스와 이상한 외부 연결을 점검해야 한다.

또한 QVD-2026-57410은 CVE가 아니라 QVD 식별자다. NVD에 등록된 CVE-2026-57410은 MailerPress의 권한 상승 취약점으로, 이번 DSH 문제와는 무관하다. 17

운영자가 지금 해야 할 일

1. 네트워크 노출부터 차단하기

DSH 관리 및 API 서비스를 공용 인터넷에서 즉시 제거한다. 서비스를 루프백 주소나 별도의 관리 네트워크에만 바인딩하고, 원격 관리가 필요하다면 통제된 VPN 또는 배스천 호스트를 사용한다.

2. 모든 네트워크 계층에서 접근 제한하기

방화벽, 클라우드 보안 그룹, 컨테이너 네트워크와 역방향 프록시에서 명시적으로 신뢰한 출발지에만 접근을 허용한다. 내부 경로에 있다는 점이나 ‘로컬처럼 보이는’ 헤더를 신원 확인 수단으로 사용해서는 안 된다.

3. 프록시 헤더를 검증하고 덮어쓰기

엣지 프록시에서 예상하지 못한 Host 값을 거부한다. 프록시를 사용해야 한다면 클라이언트의 값을 그대로 전달하지 말고, upstream에는 사전에 정한 고정 Host 값을 덮어써서 전달한다. 전달된 클라이언트 IP 헤더도 통제된 프록시에서 온 경우에만 신뢰해야 한다.

4. Host 헤더와 무관한 인증 추가하기

관리 기능과 내부 RPC 작업에는 실제 인증·인가를 적용한다. 강력한 인증을 거친 게이트웨이, mTLS, 작업별 권한 통제 등을 고려할 수 있다. Host 헤더 검증은 라우팅 검증을 보조할 수 있지만, 유일한 신원 확인 수단이 되어서는 안 된다.

5. 제공자 검색과 외부 연결 위험 줄이기

필요하지 않다면 llm.discoverModels를 비활성화하거나 접근을 제한한다. 모델 제공자 검색이 필요할 때는 허용 목록에 등록된 엔드포인트만 사용하고 외부 송신(egress) 통제를 적용한다. 민감한 내부 주소와 클라우드 메타데이터 대상에 대한 연결을 차단하면 제공자 검색 경로가 악용될 때 피해를 줄이는 데 도움이 될 수 있다. DSH LLM 문서는 제공자 등록과 모델 검색을 노출된 기능으로 설명한다. 23

6. 공식 수정 안내를 확인한 뒤 업그레이드하기

제공된 자료는 0.1.1-rc.2를 영향을 받는 버전으로 지목하고 이후 릴리스 활동도 보여주지만, 특정 후속 빌드가 이 취약점을 해결했다고 명시하지는 않는다. 따라서 업그레이드만으로 충분하다고 가정하지 말고 DeepSeek의 최신 릴리스 노트와 보안 공지에서 수정 여부를 확인해야 한다. 프로젝트 자체도 Harness가 실험적이며 운영 환경에 적합하지 않다고 계속 경고하고 있다. 410

7. 노출 이력이 있다면 침해 흔적을 조사하고 자격 증명 교체하기

역방향 프록시와 DSH 로그에서 비정상적인 /api 요청, 로컬 주소처럼 위조된 Host 값, 예상하지 못한 모델 제공자 등록, 프로세스 실행, 파일 변경과 외부 연결을 찾는다. DSH 프로세스가 접근할 수 있었던 자격 증명은 교체한다. 명령 실행이나 지속성 확보 정황이 발견됐다면 단순히 서비스를 재시작하는 대신 호스트 또는 컨테이너를 격리하고 재구축하는 편이 안전하다.