DeepSeek Harness z luką CVSS 9.8. Sfałszowany nagłówek Host może otworzyć drogę do RCE

QVD-2026-57410 to zgłoszona krytyczna podatność w DeepSeek Harness (DSH) 0.1.1-rc.2. Według raportów powiązanych z QiAnXin luka umożliwia nieuwierzytelnione zdalne wykonanie kodu, a jej ocena w CVSS 3.0 wynosi 9,8. Problem polega na tym, że decyzja o zaufaniu do żądań kierowanych do /api może opierać się na kontrolowanym przez klienta nagłówku HTTP Host — czyli na elemencie, który nie powinien zastępować uwierzytelniania. 1924

Skala zagrożenia zależy przede wszystkim od sposobu wdrożenia. Oficjalna dokumentacja DeepSeek podaje, że polecenie uruchamiające interfejs WWW domyślnie wiąże go z adresem 127.0.0.1:3080, co ogranicza bezpośredni dostęp zdalny. Ryzyko wyraźnie rośnie, gdy usługa zostanie udostępniona na innym interfejsie albo przekazana przez Dockera, reverse proxy, tunel, VPN, sieć lokalną lub ingress. 1118

Jak działa obejście kontroli przez nagłówek Host?

Podatny mechanizm próbuje rozróżniać żądania lokalne i zdalne na podstawie informacji o hoście żądania. Nagłówek Host jest jednak dostarczany przez klienta i może zostać sfałszowany. Osoba, która może połączyć się z usługą, może więc wysłać wartość przypominającą lokalny adres i sprawić, że warstwa /api potraktuje żądanie jako zaufane. Raporty opisują to jako obejście granicy zaufania opartej na dostępie z interfejsu loopback. 1924

Zgłaszany łańcuch ataku wygląda na wysokim poziomie następująco:

1. Atakujący uzyskuje dostęp do wystawionego punktu końcowego WWW lub zarządzania DSH.
2. Wysyła żądanie z podrobionym, lokalnie wyglądającym nagłówkiem Host.
3. Omija ograniczenie /api, które miało chronić operacje wewnętrzne.
4. Wywołuje ograniczone funkcje RPC.
5. Rejestruje lub wykorzystuje kontrolowaną przez siebie trasę dostawcy modelu.
6. Skłania możliwości agenta DSH do wykonania poleceń w systemie. 1920

To odróżnia tę podatność od zwykłego błędu routingu czy ujawnienia informacji. Obejście może prowadzić do funkcji przeznaczonych do obsługi agenta AI dysponującego możliwościami wykonywania operacji na systemie.

Dlaczego błąd może prowadzić do zdalnego wykonania kodu?

DeepSeek opisuje Harness jako eksperymentalne oprogramowanie w wersji deweloperskiej, które nie przeszło audytu bezpieczeństwa. Własne ostrzeżenie projektu wskazuje, że narzędzie może wykonywać kod i polecenia wygenerowane przez model, a także uzyskiwać dostęp do sieci, procesów, poświadczeń i plików udostępnionych mu przez środowisko. 4

Podsystem LLM obsługuje również rejestrowanie dostawców i wyszukiwanie modeli, w tym zdalną operację discoverModels. 23 W opisywanym łańcuchu ataku kontrolowany przez napastnika dostawca może dostarczyć dane potrzebne do dotarcia do możliwości agenta związanych z wykonywaniem poleceń. 19

Pomyślne wykorzystanie luki nie oznacza automatycznie uzyskania uprawnień administratora systemu. Polecenia byłyby wykonywane z uprawnieniami procesu usługi DSH. Mogą one jednak wystarczyć do odczytu lub modyfikacji dostępnych plików, wykorzystania znalezionych poświadczeń i kluczy API, uruchamiania procesów, zmiany danych aplikacji czy nawiązywania połączeń wychodzących.

Ostateczny skutek zależy od konfiguracji. Ryzyko jest większe między innymi wtedy, gdy kontener ma nadmierny dostęp do systemu plików, działa z uprzywilejowanymi ustawieniami, ma zamontowany socket Dockera albo może korzystać z poświadczeń chmurowych. Dostępne materiały nie potwierdzają, że każda instalacja automatycznie prowadzi do pełnego przejęcia hosta.

Które wdrożenia wymagają pilnego sprawdzenia?

Administratorzy powinni w pierwszej kolejności przeanalizować konfiguracje, w których:

• DSH nasłuchuje na 0.0.0.0 lub innym adresie spoza interfejsu loopback;
• Docker albo inne środowisko kontenerowe publikuje port 3080 poza lokalnym hostem;
• reverse proxy przekazuje API zarządzające do Internetu lub niezaufanej sieci LAN;
• tunel, VPN albo ingress udostępnia usługę użytkownikom, którzy nie są objęci silnym uwierzytelnianiem;
• proxy przyjmuje dowolne wartości klienckiego Host albo przekazuje je dalej bez zmian.

Samo określenie usługi jako „wewnętrznej” nie jest mechanizmem autoryzacji. Każdy napastnik, który może dotrzeć do punktu końcowego i wpływać na odpowiednie nagłówki, może próbować wykorzystać obejście.

Publiczny PoC, status CVE i dowody aktywnego wykorzystania

Wiele raportów podaje, że opublikowano kod PoC lub szczegóły techniczne dotyczące QVD-2026-57410. 192027 Zwiększa to pilność działań zabezpieczających, ale sam fakt istnienia PoC nie jest dowodem, że konkretna instalacja została zaatakowana.

Z dostarczonych informacji wynika, że w chwili ujawnienia nie obserwowano wykorzystania luki na szeroką skalę w rzeczywistych atakach. Nie przedstawiono też dowodów łączących ją ze znanym ugrupowaniem lub kampanią. 1924 To jednak tylko obraz sytuacji z momentu publikacji, a nie gwarancja bezpieczeństwa. Wystawione instancje należy sprawdzić pod kątem podejrzanych żądań, nieoczekiwanych rejestracji dostawców, nowych procesów i nietypowych połączeń wychodzących.

QVD-2026-57410 to identyfikator QVD, a nie CVE. Podobnie numerowana luka CVE-2026-57410 dotyczy — według wpisu w bazie NVD — niezwiązanej podatności eskalacji uprawnień w MailerPress. 17

Co powinni zrobić administratorzy?

1. Najpierw usuńcie usługę z publicznej sieci

Nie publikujcie interfejsu zarządzania ani API DSH w Internecie. Zwiążcie usługę z interfejsem loopback lub wydzieloną siecią administracyjną. Jeśli zdalny dostęp jest konieczny, użyjcie kontrolowanego VPN-u albo bastion hosta.

2. Ograniczcie dostęp na każdej warstwie sieci

Skonfigurujcie reguły zapory, grup bezpieczeństwa w chmurze, sieci kontenerowej i reverse proxy tak, aby dopuszczały wyłącznie jawnie zaufane źródła. Nie traktujcie wewnętrznej trasy ani „lokalnie wyglądającego” nagłówka jako dowodu tożsamości.

3. Walidujcie i nadpisujcie nagłówki proxy

Na brzegu sieci odrzucajcie nieoczekiwane wartości Host. Jeśli proxy musi przekazywać żądania dalej, nadpisujcie nagłówek upstreamu ustaloną, stałą wartością zamiast bezrefleksyjnie przekazywać wartość od klienta. Nagłówki z adresem IP klienta uznawajcie za wiarygodne tylko wtedy, gdy pochodzą z kontrolowanego proxy.

4. Dodajcie uwierzytelnianie niezależne od Host

Chrońcie operacje zarządzania i wewnętrzne funkcje RPC rzeczywistym uwierzytelnianiem oraz autoryzacją — na przykład przez silnie uwierzytelnioną bramę, mTLS i uprawnienia przypisane do poszczególnych operacji. Walidacja Host może pomagać w routingu, ale nie może być jedynym mechanizmem potwierdzającym tożsamość.

5. Ograniczcie wykrywanie dostawców i ruch wychodzący

Wyłączcie lub ograniczcie llm.discoverModels, jeśli ta funkcja nie jest potrzebna. Jeżeli wykrywanie modeli musi pozostać aktywne, stosujcie listę dozwolonych punktów końcowych dostawców i kontrolę ruchu wychodzącego. Zablokowanie dostępu do wrażliwych adresów wewnętrznych oraz usług metadanych chmurowych może ograniczyć skutki nadużycia ścieżki wykrywania dostawcy jako mechanizmu SSRF. Dokumentacja LLM DSH potwierdza, że rejestrowanie dostawców i wykrywanie modeli są udostępnionymi możliwościami. 23

6. Potwierdźcie poprawkę w oficjalnych materiałach

Dostarczone źródła wskazują wersję 0.1.1-rc.2 jako podatną i pokazują późniejszą aktywność wydawniczą, ale nie potwierdzają, że konkretna późniejsza kompilacja naprawia tę lukę. Przed uznaniem aktualizacji za wystarczającą sprawdźcie bieżące informacje o wydaniach i komunikaty bezpieczeństwa DeepSeek, w których poprawka musi być wskazana wprost. Własne ostrzeżenie projektu nadal określa Harness jako narzędzie eksperymentalne, nieprzeznaczone do zastosowań produkcyjnych. 410

7. Jeśli usługa była wystawiona, przeprowadźcie polowanie i rotację danych

Przejrzyjcie logi reverse proxy i DSH pod kątem nietypowych żądań do /api, sfałszowanych lokalnych wartości Host, nieoczekiwanych rejestracji dostawców modeli, uruchomień procesów, zmian plików i połączeń wychodzących. Zmieńcie wszystkie poświadczenia dostępne dla procesu DSH. Jeżeli znajdziecie oznaki wykonania poleceń lub utrzymania dostępu przez napastnika, odizolujcie i odbudujcie zaatakowany host albo kontener — samo ponowne uruchomienie usługi nie musi usunąć skutków włamania.