QVD-2026-57410是DeepSeek Harness（简称DSH）0.1.1-rc.2中被报告的一项极危漏洞。奇安信相关披露将其描述为无需身份认证即可远程执行代码的漏洞，CVSS 3.0评分为9.8。问题核心在于，DSH的/api信任判断可能依赖由客户端控制的HTTP Host请求头——而这并不是可靠的身份认证机制。1924

不过，漏洞的实际风险高度取决于部署方式。DeepSeek官方文档显示，使用Web命令启动时，界面默认监听127.0.0.1:3080，仅限本机访问，因此直接暴露的风险相对有限。危险主要出现在服务被绑定到非回环地址，或通过Docker、反向代理、隧道、VPN、局域网和Ingress转发给不可信网络之后。1118

Host头绕过是怎么发生的？

受影响设计试图根据请求中的主机信息，区分“本机请求”和“远程请求”。但HTTP Host头由请求方提供，攻击者可以自行构造。只要能够访问目标服务，攻击者就可能提交一个看起来像本地请求的Host值，使/api层误将请求视为可信，从而绕过原本类似“仅允许回环访问”的信任边界。1924

从高层看，报告描述的攻击链大致如下：

1. 访问已暴露的DSH Web或管理接口；
2. 发送带有伪造本地样式Host头的请求；
3. 绕过旨在保护内部操作的/api限制；
4. 调用受限的内部RPC功能；
5. 注册或使用攻击者控制的大模型提供商路由；
6. 借助DSH的Agent能力，在主机上执行命令。1920

因此，这并不只是一个路由错误或信息泄露问题：绕过的入口可以触达一个本来就具备运行命令、操作文件和调用系统资源能力的AI Agent框架。

为什么会升级为远程代码执行？

DeepSeek在安全说明中明确表示，Harness仍是实验性的开发者预览软件，尚未经过安全审计，不应被视为安全或适合生产环境。该项目能够执行模型生成的代码和命令，并访问提供给它的网络、进程、凭据和文件资源。4

DSH的LLM子系统还支持注册模型提供商、列出模型和发现模型，其中包括discoverModels远程操作。23根据公开报告，攻击者可在利用链中注册一个由自己控制的提供商，再借此把输入导向Agent的命令执行能力。19

成功利用并不意味着攻击者必然获得root权限。命令通常会以DSH服务进程的权限运行，但这些权限仍可能足以读取或修改可访问文件、窃取可用凭据或API密钥、启动新进程、篡改应用数据，以及发起出站网络连接。

最终影响取决于部署环境。例如，服务是否拥有过大的文件系统权限，容器是否以特权模式运行，是否挂载了Docker Socket，或是否能够读取云平台凭据，都可能扩大后果。现有披露并未证明每一种部署都会自动导致整台主机被完全接管。

哪些部署需要优先排查？

以下配置应被视为紧急检查对象：

• DSH绑定在0.0.0.0或其他非回环地址上；
• Docker或其他容器运行时将3080端口发布到本机之外；
• 反向代理将管理API转发到互联网或不受信任的局域网；
• 通过隧道、VPN或Ingress让未经过强认证的用户能够访问服务；
• 代理接受任意客户端Host值，或将该值未经覆盖直接转发给上游。

需要特别注意的是，“内部服务”并不等于“已经完成授权”。如果攻击者能够访问接口并影响相关请求头，就可能尝试绕过这道检查。

PoC、CVE编号和在野利用情况

多份报告称，QVD-2026-57410的PoC或技术细节已经公开。192027这意味着运营方应立即收敛暴露面，但“PoC公开”不能等同于某个具体实例已经遭到入侵。

截至相关披露时，公开信息显示尚未发现该漏洞被大规模用于真实攻击，也没有证据表明它与已知威胁组织或攻击活动有关联。1924这只是披露时点的观察结果，并不构成安全保证。曾将实例暴露在不可信网络中的运营方，仍应检查异常请求、意外的模型提供商注册、新启动的进程和异常出站连接。

此外，QVD-2026-57410是QVD编号，并不是CVE编号。NVD中的CVE-2026-57410对应的是MailerPress插件的权限提升漏洞，与DeepSeek Harness问题无关。17

运营方应该怎么处置？

1. 先切断网络暴露

立即停止将DSH管理接口和API服务发布到公网。将服务绑定到回环地址或专用管理网络；如确需远程管理，应通过受控VPN或跳板机访问。

2. 在各层网络控制访问来源

同时检查防火墙、云安全组、容器网络和反向代理规则，只允许明确可信的来源访问。不要把“走内网”或“请求看起来像本地请求”当作身份凭证。

3. 在代理层严格处理Host头

在边缘反向代理拒绝异常的Host值。必须代理时，应将上游Host覆盖为预先确定的固定值，而不是盲目转发客户端提交的值。对于转发的客户端IP请求头，也只能信任来自受控代理的内容。

4. 使用独立于Host头的真实认证

为管理接口和内部RPC操作增加独立的身份认证与授权，例如强认证网关、双向TLS（mTLS）以及按操作划分的访问控制。Host头校验可以用于路由或域名检查，但绝不能成为唯一的身份判断依据。

5. 收紧模型发现和出站访问能力

不需要时禁用或限制llm.discoverModels。必须使用模型提供商发现功能时，应设置提供商地址白名单，并配合出站流量控制。限制对敏感内网地址、云元数据服务等目标的访问，可以降低提供商发现路径被滥用为服务端请求工具后的影响。DSH的LLM文档确认，提供商注册和模型发现属于其公开能力。23

6. 以官方信息确认修复版本

现有资料明确指出0.1.1-rc.2属于受影响版本，也显示项目已经有后续发布活动，但并未证明某个特定后续构建已经修复该漏洞。请以DeepSeek最新发布说明和安全公告中明确确认的修复信息为准，不要默认任何更新的预览版都已完成修复。项目自身的安全说明也仍警告Harness属于实验性软件，尚未经过安全审计。410

7. 如果曾暴露，开展排查并轮换凭据

检查反向代理和DSH日志，重点关注异常/api请求、伪造本地样式的Host值、意外的模型提供商注册、异常进程启动、文件变更和出站连接。轮换DSH进程能够访问的凭据。如果发现命令执行或持久化迹象，应隔离并重建受影响的主机或容器，不要认为简单重启服务就已经清除了入侵。

QVD-2026-57410是DeepSeek Harness（简称DSH）0.1.1-rc.2中被报告的一项极危漏洞。奇安信相关披露将其描述为无需身份认证即可远程执行代码的漏洞，CVSS 3.0评分为9.8。问题核心在于，DSH的/api信任判断可能依赖由客户端控制的HTTP Host请求头——而这并不是可靠的身份认证机制。1924

不过，漏洞的实际风险高度取决于部署方式。DeepSeek官方文档显示，使用Web命令启动时，界面默认监听127.0.0.1:3080，仅限本机访问，因此直接暴露的风险相对有限。危险主要出现在服务被绑定到非回环地址，或通过Docker、反向代理、隧道、VPN、局域网和Ingress转发给不可信网络之后。1118

Host头绕过是怎么发生的？

受影响设计试图根据请求中的主机信息，区分“本机请求”和“远程请求”。但HTTP Host头由请求方提供，攻击者可以自行构造。只要能够访问目标服务，攻击者就可能提交一个看起来像本地请求的Host值，使/api层误将请求视为可信，从而绕过原本类似“仅允许回环访问”的信任边界。1924

从高层看，报告描述的攻击链大致如下：

1. 访问已暴露的DSH Web或管理接口；
2. 发送带有伪造本地样式Host头的请求；
3. 绕过旨在保护内部操作的/api限制；
4. 调用受限的内部RPC功能；
5. 注册或使用攻击者控制的大模型提供商路由；
6. 借助DSH的Agent能力，在主机上执行命令。1920

因此，这并不只是一个路由错误或信息泄露问题：绕过的入口可以触达一个本来就具备运行命令、操作文件和调用系统资源能力的AI Agent框架。

为什么会升级为远程代码执行？

DeepSeek在安全说明中明确表示，Harness仍是实验性的开发者预览软件，尚未经过安全审计，不应被视为安全或适合生产环境。该项目能够执行模型生成的代码和命令，并访问提供给它的网络、进程、凭据和文件资源。4

DSH的LLM子系统还支持注册模型提供商、列出模型和发现模型，其中包括discoverModels远程操作。23根据公开报告，攻击者可在利用链中注册一个由自己控制的提供商，再借此把输入导向Agent的命令执行能力。19

成功利用并不意味着攻击者必然获得root权限。命令通常会以DSH服务进程的权限运行，但这些权限仍可能足以读取或修改可访问文件、窃取可用凭据或API密钥、启动新进程、篡改应用数据，以及发起出站网络连接。

最终影响取决于部署环境。例如，服务是否拥有过大的文件系统权限，容器是否以特权模式运行，是否挂载了Docker Socket，或是否能够读取云平台凭据，都可能扩大后果。现有披露并未证明每一种部署都会自动导致整台主机被完全接管。

哪些部署需要优先排查？

以下配置应被视为紧急检查对象：

• DSH绑定在0.0.0.0或其他非回环地址上；
• Docker或其他容器运行时将3080端口发布到本机之外；
• 反向代理将管理API转发到互联网或不受信任的局域网；
• 通过隧道、VPN或Ingress让未经过强认证的用户能够访问服务；
• 代理接受任意客户端Host值，或将该值未经覆盖直接转发给上游。

需要特别注意的是，“内部服务”并不等于“已经完成授权”。如果攻击者能够访问接口并影响相关请求头，就可能尝试绕过这道检查。

PoC、CVE编号和在野利用情况

多份报告称，QVD-2026-57410的PoC或技术细节已经公开。192027这意味着运营方应立即收敛暴露面，但“PoC公开”不能等同于某个具体实例已经遭到入侵。

截至相关披露时，公开信息显示尚未发现该漏洞被大规模用于真实攻击，也没有证据表明它与已知威胁组织或攻击活动有关联。1924这只是披露时点的观察结果，并不构成安全保证。曾将实例暴露在不可信网络中的运营方，仍应检查异常请求、意外的模型提供商注册、新启动的进程和异常出站连接。

此外，QVD-2026-57410是QVD编号，并不是CVE编号。NVD中的CVE-2026-57410对应的是MailerPress插件的权限提升漏洞，与DeepSeek Harness问题无关。17

运营方应该怎么处置？

1. 先切断网络暴露

立即停止将DSH管理接口和API服务发布到公网。将服务绑定到回环地址或专用管理网络；如确需远程管理，应通过受控VPN或跳板机访问。

2. 在各层网络控制访问来源

同时检查防火墙、云安全组、容器网络和反向代理规则，只允许明确可信的来源访问。不要把“走内网”或“请求看起来像本地请求”当作身份凭证。

3. 在代理层严格处理Host头

在边缘反向代理拒绝异常的Host值。必须代理时，应将上游Host覆盖为预先确定的固定值，而不是盲目转发客户端提交的值。对于转发的客户端IP请求头，也只能信任来自受控代理的内容。

4. 使用独立于Host头的真实认证

为管理接口和内部RPC操作增加独立的身份认证与授权，例如强认证网关、双向TLS（mTLS）以及按操作划分的访问控制。Host头校验可以用于路由或域名检查，但绝不能成为唯一的身份判断依据。

5. 收紧模型发现和出站访问能力

不需要时禁用或限制llm.discoverModels。必须使用模型提供商发现功能时，应设置提供商地址白名单，并配合出站流量控制。限制对敏感内网地址、云元数据服务等目标的访问，可以降低提供商发现路径被滥用为服务端请求工具后的影响。DSH的LLM文档确认，提供商注册和模型发现属于其公开能力。23

6. 以官方信息确认修复版本

现有资料明确指出0.1.1-rc.2属于受影响版本，也显示项目已经有后续发布活动，但并未证明某个特定后续构建已经修复该漏洞。请以DeepSeek最新发布说明和安全公告中明确确认的修复信息为准，不要默认任何更新的预览版都已完成修复。项目自身的安全说明也仍警告Harness属于实验性软件，尚未经过安全审计。410

7. 如果曾暴露，开展排查并轮换凭据

检查反向代理和DSH日志，重点关注异常/api请求、伪造本地样式的Host值、意外的模型提供商注册、异常进程启动、文件变更和出站连接。轮换DSH进程能够访问的凭据。如果发现命令执行或持久化迹象，应隔离并重建受影响的主机或容器，不要认为简单重启服务就已经清除了入侵。