QVD-2026-57410: DeepSeek Harness’ta CVSS 9.8’lik yetkisiz RCE açığı

QiAnXin bağlantılı raporlara göre QVD-2026-57410, DeepSeek Harness’ın (DSH) 0.1.1-rc.2 sürümünü etkileyen kritik bir güvenlik açığı. Açık, CVSS 3.0 ölçeğinde 9,8 puanla değerlendirilen, kimlik doğrulama gerektirmeyen bir uzaktan kod çalıştırma (RCE) zafiyeti olarak bildiriliyor. Temel sorun, DSH’nin /api katmanındaki güven kararının istemci tarafından kontrol edilebilen HTTP Host başlığına dayanabilmesi. Bu başlık kimlik doğrulama yerine kullanılamayacağı için saldırgan tarafından taklit edilebilir. 1924

Ancak gerçek risk, kurulumun ağ üzerinden nasıl yayımlandığına bağlı. DeepSeek’in belgelerinde npx @deepseek-ai/dsh web komutunun arayüzü varsayılan olarak 127.0.0.1:3080 adresinde başlattığı belirtiliyor. Bu yapı doğrudan uzaktan erişimi sınırlar. Tehlike; hizmetin loopback dışındaki bir arayüze bağlanması veya Docker, ters vekil sunucu, tünel, VPN, yerel ağ ya da ingress üzerinden başka kullanıcılara açılmasıyla belirgin biçimde artıyor. 1118

Host başlığı açığı nasıl çalışıyor?

Etkilenen tasarım, bazı isteklerin yerel makineden gelip gelmediğini istek içindeki host bilgisine bakarak ayırt etmeye çalışıyor. Oysa HTTP Host başlığı isteği gönderen tarafça belirlenebilir ve değiştirilebilir. Hizmete erişebilen bir saldırgan, yerel bir isteği taklit eden değer göndererek /api katmanının isteği güvenilir kabul etmesini sağlamaya çalışabiliyor. Raporlar bu durumu, DSH’nin loopback tabanlı güven sınırının aşılması olarak tanımlıyor. 1924

Bildirilen saldırı zinciri, yüksek seviyede şu adımlardan oluşuyor:

1. İnternete veya güvenilmeyen bir ağa açılmış DSH web ya da yönetim uç noktasına erişmek.
2. Yerel bir isteği taklit eden sahte bir Host başlığı göndermek.
3. İç işlemleri koruması amaçlanan /api kısıtlamasını aşmak.
4. Kısıtlı RPC işlevlerini çağırmak.
5. Saldırganın kontrolündeki bir model sağlayıcısı rotasını kaydetmek veya kullanmak.
6. DSH’nin Agent yeteneklerini kullanarak ana makinede komut çalıştırmak. 1920

Bu nedenle sorun yalnızca yönlendirme hatası veya bilgi sızıntısı değil. Atlama, sistem komutlarıyla çalışabilen bir yapay zekâ aracısının işlevlerine kadar ulaşabiliyor.

Açık neden RCE’ye dönüşebiliyor?

DeepSeek, Harness’ı güvenlik denetiminden geçmemiş deneysel bir geliştirici önizlemesi olarak tanımlıyor. Projenin güvenlik bildiriminde yazılımın model tarafından üretilen kod ve komutları çalıştırabildiği; kendisine sunulan ağ kaynaklarına, süreçlere, kimlik bilgilerine ve dosyalara erişebildiği belirtiliyor. 4

DSH’nin LLM alt sistemi ayrıca sağlayıcı kaydı ve model keşfi işlevlerini destekliyor. Bu kapsamda discoverModels adlı uzak işlem de bulunuyor. 23 Bildirilen istismar zincirinde saldırganın kontrol ettiği bir sağlayıcı, Agent’ın komut çalıştırma yeteneklerine ulaşmak için kullanılabiliyor. 19

Başarılı bir istismar otomatik olarak root erişimi anlamına gelmez. Komutlar, DSH hizmet sürecinin sahip olduğu izinlerle çalışır. Yine de bu izinler saldırgana şu imkânları verebilir:

• Sürecin erişebildiği dosyaları okumak veya değiştirmek,
• Kullanılabilir kimlik bilgilerini ve API anahtarlarını ele geçirmek,
• Yeni süreçler başlatmak veya uygulama verilerini değiştirmek,
• Dış ağ bağlantıları kurmak,
• Kalıcılık sağlamaya ya da başka sistemlere sıçramaya çalışmak.

Sonuç, kurulumun yetki modeline bağlıdır. Ayrıcalıklı konteynerler, bağlanmış Docker soketi, geniş dosya sistemi izinleri veya bulut kimlik bilgilerine erişim gibi yanlış yapılandırmalar etkiyi büyütebilir. Mevcut raporlar, her kurulumun otomatik olarak ana makinenin tamamen ele geçirilmesine yol açtığını göstermiyor.

Hangi kurulumlar daha riskli?

Aşağıdaki yapılandırmalar acil inceleme gerektiren başlıca senaryolar:

• DSH’nin 0.0.0.0 veya başka bir loopback dışı adrese bağlanması,
• Docker ya da başka bir konteyner çalışma zamanının 3080 numaralı portu yerel makine dışına yayımlaması,
• Ters vekil sunucunun yönetim API’sini internete veya güvenilmeyen bir yerel ağa aktarması,
• Tünel, VPN veya ingress üzerinden güçlü kimlik doğrulaması olmayan kullanıcıların hizmete erişebilmesi,
• İstemciden gelen rastgele Host değerlerinin kabul edilmesi veya değiştirilmeden üst sunucuya iletilmesi.

Bir hizmetin “dahili” olması tek başına yetkilendirme mekanizması değildir. Uç noktaya erişebilen ve ilgili istek başlıklarını etkileyebilen bir saldırgan, bu atlatmayı denemeye devam edebilir.

PoC yayımlandı mı? Gerçek saldırı kanıtı var mı?

Birden fazla rapor, QVD-2026-57410 için kavram kanıtlama kodu (PoC) veya ayrıntılı teknik bilgilerin kamuya açık olduğunu belirtiyor. 192027 Bu durum müdahaleyi acil hâle getiriyor; ancak kamuya açık PoC, belirli bir kurulumun ele geçirildiğinin kanıtı değil.

Sağlanan raporlara göre açıklamanın yapıldığı sırada geniş çaplı gerçek dünya istismarına rastlanmamıştı. Ayrıca bilinen bir tehdit aktörü veya kampanyasıyla bağlantı kuran bir kanıt da bulunmuyordu. 1924 Bu yalnızca belirli bir zamana ait sınırlı bir gözlem; güvenlik garantisi olarak değerlendirilmemeli. Açıkta kalan örneklerde şüpheli istekler, beklenmeyen sağlayıcı kayıtları, yeni süreçler ve olağandışı dış bağlantılar incelenmeli.

Bir diğer önemli ayrıntı: QVD-2026-57410, CVE numarası değildir. NVD’de yer alan benzer numaralı CVE-2026-57410, MailerPress’e ait ve bununla ilgisiz bir ayrıcalık yükseltme açığını ifade ediyor. 17

Operatörler ne yapmalı?

1. Ağ erişimini hemen daraltın

DSH yönetim ve API hizmetini genel internete açmayın. Hizmeti loopback arayüzüne veya ayrı bir yönetim ağına bağlayın. Uzaktan yönetim gerekiyorsa kontrollü bir VPN ya da bastion sunucusu kullanın.

2. Her ağ katmanında kaynak kısıtlaması uygulayın

Güvenlik duvarı, bulut güvenlik grubu, konteyner ağı ve ters vekil sunucu kurallarında yalnızca açıkça güvenilen kaynaklara izin verin. “Dahili rota” veya yerel görünümlü bir başlığı kimlik kanıtı kabul etmeyin.

3. Ters vekil başlıklarını doğrulayın ve üzerine yazın

Kenar vekil sunucusunda beklenmeyen Host değerlerini reddedin. Vekil kullanmak zorundaysanız istemcinin gönderdiği değeri olduğu gibi iletmek yerine üst sunucuya sabit ve bilinen bir Host değeri gönderin. İletilen istemci IP’si başlıklarını da yalnızca kontrol edilen vekil sunuculardan geldiklerinde güvenilir kabul edin.

4. Host başlığından bağımsız kimlik doğrulama ekleyin

Yönetim ve dahili RPC işlemlerini gerçek kimlik doğrulama ve yetkilendirme ile koruyun. Güçlü kimlik doğrulamalı bir ağ geçidi, mTLS ve işlem bazlı erişim kontrolleri kullanılabilir. Host doğrulaması yönlendirmeye yardımcı olabilir; kesinlikle tek kimlik kontrolü olmamalıdır.

5. Model keşfi ve dış ağ riskini azaltın

Gerekli değilse llm.discoverModels işlevini devre dışı bırakın veya kısıtlayın. Model sağlayıcısı keşfi gerekiyorsa uç noktaları izin listesine alın ve dışa giden bağlantıları egress kurallarıyla sınırlayın. Hassas iç ağ ve bulut meta veri adreslerine erişimi engellemek, sağlayıcı keşfi yolunun kötüye kullanılması durumunda etkiyi azaltabilir. DSH’nin LLM belgeleri, sağlayıcı kaydı ve model keşfinin sunulan yetenekler arasında olduğunu doğruluyor. 23

6. Düzeltmeyi resmi sürüm notlarıyla doğrulayın

Sağlanan kaynaklar 0.1.1-rc.2 sürümünü etkilenen sürüm olarak gösteriyor ve daha sonraki sürüm faaliyetlerine işaret ediyor; ancak belirli bir sonraki derlemenin bu açığı düzelttiğini doğrulamıyor. Bu nedenle güncellemeyi yeterli kabul etmeden önce DeepSeek’in güncel sürüm notlarında veya güvenlik duyurularında açıkça belirtilen bir düzeltme olup olmadığını kontrol edin. Projenin kendi güvenlik bildirimi, Harness’ın deneysel ve üretim kullanımı için hazır olmayan bir yazılım olduğunu vurgulamaya devam ediyor. 410

7. Maruziyet olduysa inceleme ve anahtar yenilemesi yapın

Ters vekil ve DSH günlüklerinde anormal /api isteklerini, sahte yerel Host değerlerini, beklenmeyen model sağlayıcısı kayıtlarını, yeni süreçleri, dosya değişikliklerini ve olağandışı dış bağlantıları arayın. DSH sürecinin erişebildiği kimlik bilgilerini yenileyin. Komut çalıştırma veya kalıcılık belirtisi varsa yalnızca hizmeti yeniden başlatmakla yetinmeyin; etkilenen ana makineyi ya da konteyneri izole edip yeniden oluşturun.