Уязвимость DeepSeek Harness с оценкой CVSS 9,8: как Host-заголовок обходит защиту API

QVD-2026-57410 — это заявленная критическая уязвимость в DeepSeek Harness (DSH) версии 0.1.1-rc.2. Согласно сообщениям, связанным с QiAnXin, она позволяет выполнять команды на удалённом сервере без аутентификации и имеет оценку CVSS 3.0 9,8. Корень проблемы — решение о доверии к запросу /api может опираться на управляемый клиентом HTTP-заголовок Host, что небезопасно использовать вместо аутентификации. 1924

Реальный риск во многом зависит от конфигурации. Документированная команда запуска веб-интерфейса DeepSeek по умолчанию привязывает его к 127.0.0.1:3080, ограничивая прямой удалённый доступ. Ситуация становится существенно опаснее, если сервис опубликован на внешнем интерфейсе или доступ к нему организован через Docker, обратный прокси, туннель, VPN, локальную сеть или ingress-шлюз. 1118

Как работает обход через Host

DSH пытается отличить локальные запросы от удалённых по информации о хосте запроса. Однако заголовок Host передаётся самим клиентом и может быть подделан. Если злоумышленник может подключиться к сервису, он способен отправить значение, похожее на локальный адрес, и заставить слой /api считать запрос доверенным. В опубликованных описаниях это называется обходом границы доверия, рассчитанной на доступ только через loopback-интерфейс. 1924

На высоком уровне заявленная цепочка атаки выглядит так:

1. Получить доступ к опубликованной веб-точке или интерфейсу управления DSH.
2. Отправить запрос с поддельным локальным значением заголовка Host.
3. Обойти ограничение /api, предназначенное для защиты внутренних операций.
4. Вызвать закрытые RPC-функции.
5. Зарегистрировать маршрут к управляемому злоумышленником поставщику модели или использовать такой маршрут.
6. Задействовать возможности агента DSH для выполнения команд на хосте. 1920

Именно поэтому проблема выходит далеко за рамки обычной ошибки маршрутизации или утечки информации: обход открывает доступ к функциям AI-агента, рассчитанным на работу с системными возможностями.

Почему это может привести к удалённому выполнению команд

DeepSeek называет Harness экспериментальным программным обеспечением для предварительного просмотра разработчиками, которое не проходило аудит безопасности. В уведомлении о безопасности прямо сказано, что проект способен выполнять сгенерированные моделью код и команды, а также обращаться к доступным ему сети, процессам, учетным данным и файлам. 4

LLM-подсистема поддерживает регистрацию провайдеров и обнаружение моделей, включая удалённую операцию discoverModels. 23 В описанной исследователями цепочке управляемый злоумышленником провайдер используется для передачи входных данных, необходимых для задействования возможностей агента по выполнению команд. 19

Успешная атака не означает автоматического получения прав root. Команды выполняются с правами процесса, под которым работает DSH. Но этих прав может хватить, чтобы читать или изменять доступные файлы, использовать найденные учетные данные и API-ключи, запускать процессы, менять данные приложения или устанавливать исходящие сетевые соединения.

Масштаб последствий определяется конфигурацией. Риск выше, если сервис имеет избыточный доступ к файловой системе, работает в привилегированном контейнере, видит смонтированный Docker Socket или располагает облачными учетными данными. Представленные материалы не доказывают, что каждый экземпляр DSH автоматически приводит к полному захвату хоста.

Какие конфигурации наиболее уязвимы

В первую очередь стоит проверить следующие варианты развертывания:

• DSH привязан к 0.0.0.0 или другому адресу, не являющемуся loopback-адресом.
• Docker или другой контейнерный runtime публикует порт 3080 за пределами локального хоста.
• Обратный прокси передаёт интерфейс управления в интернет или недоверенную локальную сеть.
• Туннель, VPN или ingress делает сервис доступным пользователям без надежной аутентификации.
• Прокси принимает произвольные значения Host от клиента или без изменений передаёт их upstream-сервису.

Статус «внутренний» сам по себе не является механизмом авторизации. Любой злоумышленник, который может достучаться до конечной точки и влиять на соответствующие заголовки запроса, потенциально может попытаться выполнить обход.

Что известно о PoC и атаках в реальных системах

Несколько публикаций утверждают, что технические детали и код проверки концепции (PoC) для QVD-2026-57410 уже доступны публично. 192027 Это повышает срочность изоляции и проверки систем, но наличие PoC нельзя путать с доказательством компрометации конкретной установки.

Согласно предоставленным сообщениям, на момент раскрытия не было зафиксировано эксплуатации уязвимости в реальных атаках, а также доказательств её связи с известной группировкой или кампанией. 1924 Это лишь ограниченный снимок ситуации, а не гарантия безопасности. Для доступных извне экземпляров следует проверить подозрительные запросы, неожиданные регистрации провайдеров, новые процессы и необычные исходящие соединения.

Важно не перепутать идентификаторы: QVD-2026-57410 — это идентификатор QVD, а не CVE. Похожий номер CVE-2026-57410 в базе NVD относится к другой проблеме — повышению привилегий в MailerPress. 17

Что делать администраторам

1. Сначала убрать сетевую доступность

Немедленно прекратите публикацию интерфейса управления и API DSH в интернете. Привяжите сервис к loopback-интерфейсу или выделенной сети управления. Если нужен удалённый доступ, используйте контролируемый VPN или bastion-хост.

2. Ограничить доступ на всех сетевых уровнях

Настройте правила межсетевого экрана, облачных security group, контейнерной сети и обратного прокси так, чтобы доступ разрешался только явно доверенным источникам. Не полагайтесь на внутренний маршрут или «локально выглядящий» заголовок как на доказательство личности клиента.

3. Проверить и переписывать заголовки на прокси

На пограничном прокси отклоняйте неожиданные значения Host. Если проксирование необходимо, перезаписывайте upstream-заголовок Host на заранее заданное значение, а не передавайте без проверки значение, присланное клиентом. Заголовки с информацией об IP клиента следует считать достоверными только при получении от контролируемого прокси.

4. Добавить аутентификацию, не зависящую от Host

Защитите интерфейс управления и внутренние RPC-операции полноценной аутентификацией и авторизацией: например, через надежно защищённый шлюз, mTLS и права на уровне отдельных операций. Проверка Host может использоваться для маршрутизации, но не должна быть единственной проверкой личности.

5. Снизить риск обнаружения провайдеров и исходящих запросов

Отключите или ограничьте llm.discoverModels, если эта функция не нужна. При необходимости обнаружения моделей разрешайте только одобренные адреса провайдеров и применяйте ограничения исходящего трафика. Блокировка доступа к чувствительным внутренним адресам и облачным metadata-сервисам может уменьшить последствия злоупотребления механизмом обнаружения провайдеров как примитивом для SSRF. Документация DSH подтверждает наличие регистрации провайдеров и обнаружения моделей. 23

6. Проверить исправление по официальным данным

Предоставленные источники указывают, что затронута версия 0.1.1-rc.2, и показывают последующую активность в репозитории, но не подтверждают, что конкретная более поздняя сборка устраняет эту уязвимость. Перед обновлением проверьте актуальные release notes и уведомления DeepSeek, где исправление должно быть явно обозначено. Собственное уведомление проекта по-прежнему предупреждает, что Harness является экспериментальным и не предназначен для промышленной эксплуатации. 410

7. Провести поиск следов атаки и заменить секреты

Изучите логи обратного прокси и DSH: ищите аномальные запросы к /api, поддельные локальные значения Host, неожиданные регистрации провайдеров, запуск новых процессов, изменения файлов и необычные исходящие соединения. Замените все учетные данные, доступные процессу DSH. Если есть признаки выполнения команд или закрепления в системе, изолируйте и пересоберите затронутый хост или контейнер — одного перезапуска сервиса может быть недостаточно.