QVD-2026-57410 uitgelegd: zo kan een vervalste Host-header leiden tot code-uitvoering

QVD-2026-57410 is een gemelde kritieke kwetsbaarheid in DeepSeek Harness (DSH) 0.1.1-rc.2. Volgens aan QiAnXin gelieerde rapporten gaat het om een niet-geauthenticeerde uitvoering van opdrachten op afstand, met een CVSS 3.0-score van 9,8. De kern van het probleem is dat de /api-laag kan vertrouwen op de door de client aangeleverde HTTP-Host-header. Die header is geen authenticatiemiddel en kan worden vervalst. 1924

De ernst hangt sterk af van de manier waarop DSH is uitgerold. De officiële documentatie start de webinterface standaard op 127.0.0.1:3080, waardoor de dienst normaal gesproken alleen lokaal bereikbaar is. Het risico neemt aanzienlijk toe wanneer de service op een niet-lokaal netwerkadres luistert of via Docker, een reverse proxy, tunnel, VPN, LAN of ingress wordt doorgestuurd. 1118

Hoe de Host-headeromzeiling werkt

De getroffen opzet probeert lokale verzoeken te onderscheiden van verzoeken op afstand op basis van de hostinformatie in het verzoek. Maar de Host-header wordt door de aanvrager meegestuurd. Een aanvaller die de dienst kan bereiken, kan daardoor een hostwaarde gebruiken die eruitziet alsof het verzoek van de lokale machine komt. De /api-laag kan het verzoek vervolgens ten onrechte als vertrouwd behandelen. Rapporten beschrijven dit als een omzeiling van de loopback-achtige vertrouwensgrens van DSH. 1924

Op hoofdlijnen ziet de gemelde aanvalsketen er als volgt uit:

1. De aanvaller bereikt een blootgesteld DSH-web- of beheereindpunt.
2. Hij stuurt een verzoek met een vervalste, lokaal ogende Host-header.
3. De beperking op /api, die interne handelingen moet beschermen, wordt omzeild.
4. Beperkte interne RPC-functionaliteit wordt aangeroepen.
5. Een door de aanvaller beheerde modelprovider wordt geregistreerd of gebruikt.
6. De agentmogelijkheden van DSH worden ingezet om opdrachten op het systeem uit te voeren. 1920

Dit maakt de kwetsbaarheid veel ernstiger dan een gewone routeringsfout of een lek waarbij alleen informatie uitlekt. De omzeiling geeft toegang tot functionaliteit die bedoeld is om een AI-agent met vergaande systeemmogelijkheden aan te sturen.

Waarom dit kan uitmonden in remote code execution

DeepSeek omschrijft Harness als experimentele software in ontwikkelaarsvoorvertoning. Het project heeft volgens de eigen veiligheidswaarschuwing geen security-audit ondergaan en mag niet als veilig of productierijp worden beschouwd. DSH kan door een model gegenereerde code en opdrachten uitvoeren en heeft toegang tot de netwerkverbindingen, processen, credentials en bestanden die aan het programma beschikbaar zijn gesteld. 4

Het LLM-subsysteem ondersteunt bovendien het registreren van providers en het ontdekken van modellen, waaronder de remote operatie discoverModels. 23 In de gemelde exploitketen kan een aanvaller een eigen provider gebruiken om de invoer te leveren waarmee de uitvoermogelijkheden van de agent worden bereikt. 19

Een succesvolle exploit betekent niet automatisch dat de aanvaller rootrechten krijgt. De opdrachten draaien met de rechten van het DSH-serviceproces. Die rechten kunnen echter al voldoende zijn om toegankelijke bestanden te lezen of te wijzigen, beschikbare API-sleutels of andere credentials te gebruiken, processen te starten, applicatiegegevens te veranderen of verbindingen naar buiten te maken.

De uiteindelijke impact hangt af van de inrichting. Denk aan overmatige bestandstoegang, een geprivilegieerde container, een gekoppelde Docker-socket of beschikbare cloudcredentials. De aangeleverde rapportage bewijst niet dat iedere installatie automatisch volledig op hostniveau wordt overgenomen.

Welke installaties lopen het meeste risico?

Beheerders moeten de volgende configuraties met voorrang controleren:

• DSH luistert op 0.0.0.0 of een ander niet-lokaal adres.
• Docker of een andere containerruntime publiceert poort 3080 buiten de lokale host.
• Een reverse proxy stuurt de beheer-API door naar het internet of een niet-vertrouwd LAN.
• Een tunnel, VPN of ingress maakt de service bereikbaar voor gebruikers die niet sterk worden geauthenticeerd.
• Een proxy accepteert willekeurige Host-waarden van clients of geeft die zonder controle door aan de achterliggende service.

Dat een service “intern” is, vormt op zichzelf geen autorisatiecontrole. Iedereen die het eindpunt kan bereiken en de relevante headers kan beïnvloeden, kan proberen de omzeiling uit te voeren.

Publieke PoC, CVE-status en aanwijzingen voor misbruik

Meerdere rapporten melden dat proof-of-conceptmateriaal en technische details voor QVD-2026-57410 openbaar zijn. 192027 Dat maakt snelle indamming belangrijk. Publieke PoC-code is echter geen bewijs dat een specifieke installatie daadwerkelijk is gehackt.

Volgens de aangeleverde rapportage was er op het moment van bekendmaking geen waargenomen misbruik in het wild en was er geen bewijs voor een verband met een bekende dreigingsactor of campagne. 1924 Dat is slechts een momentopname en geen garantie dat systemen veilig zijn. Onderzoek blootgestelde installaties daarom op verdachte /api-verzoeken, onverwachte providerregistraties, nieuwe processen en ongebruikelijke uitgaande verbindingen.

QVD-2026-57410 is een QVD-identificatie en geen CVE-nummer. Het vergelijkbare nummer CVE-2026-57410 verwijst volgens de NVD naar een niet-gerelateerde privilege-escalatiekwetsbaarheid in MailerPress. 17

Wat beheerders nu moeten doen

1. Verwijder de netwerkblootstelling

Haal de DSH-beheer- en API-service direct van het openbare internet. Laat de service op loopback of op een afgeschermd beheernetwerk luisteren. Gebruik voor beheer op afstand een gecontroleerde VPN of bastionhost.

2. Beperk toegang op iedere netwerklaag

Stel firewallregels, cloud-securitygroepen, containernetwerken en reverse-proxyregels zo in dat alleen expliciet vertrouwde bronnen toegang krijgen. Vertrouw niet op een interne route of een lokaal ogende header als bewijs van identiteit.

3. Controleer en overschrijf proxyheaders

Weiger onverwachte Host-waarden aan de rand van het netwerk. Als proxying noodzakelijk is, overschrijf dan de upstream-Host-header met een vaste, bekende waarde in plaats van de clientwaarde blind door te sturen. Vertrouw headers met het oorspronkelijke client-IP alleen wanneer ze afkomstig zijn van een beheerde proxy.

4. Voeg onafhankelijke authenticatie toe

Beveilig beheerfuncties en interne RPC-operaties met echte authenticatie en autorisatie, onafhankelijk van de Host-header. Mogelijke maatregelen zijn een sterk geauthenticeerde gateway, mTLS en toegangscontrole per operatie. Host-headercontrole kan nuttig zijn voor routing, maar mag nooit de enige identiteitscontrole zijn.

5. Beperk provider discovery en uitgaand verkeer

Schakel llm.discoverModels uit of beperk deze functie wanneer ze niet nodig is. Gebruik allowlists voor provider-eindpunten en beperk uitgaand verkeer. Blokkeer waar passend toegang tot gevoelige interne adressen en cloudmetadatadiensten. Dat kan de impact beperken wanneer een provider-discoverypad als server-side requestfunctie wordt misbruikt. De LLM-documentatie van DSH bevestigt dat providerregistratie en model discovery beschikbare functies zijn. 23

6. Controleer officiële informatie over een oplossing

De aangeleverde bronnen noemen 0.1.1-rc.2 als getroffen versie en laten zien dat er later nieuwe releases zijn verschenen. Ze bevestigen echter niet dat een specifieke latere build deze kwetsbaarheid oplost. Controleer daarom de actuele release notes en security advisories van DeepSeek op een expliciet bevestigde oplossing voordat een upgrade als afdoende wordt beschouwd. De eigen veiligheidswaarschuwing van het project vermeldt bovendien dat Harness experimenteel is en niet productierijp. 410

7. Onderzoek systemen en roteer secrets

Controleer reverse-proxy- en DSH-logs op afwijkende /api-verzoeken, vervalste lokaal ogende hostwaarden, onverwachte providerregistraties, gestarte processen, gewijzigde bestanden en ongewone uitgaande verbindingen. Roteer credentials waartoe het DSH-proces toegang had. Is er bewijs voor opdrachtuitvoering of persistentie, isoleer en herbouw de getroffen host of container dan in plaats van ervan uit te gaan dat een herstart de inbraak heeft verwijderd.