(9.8分) DeepSeek Harness未授权RCE

红队安全圈
红队安全圈

红队安全圈

2026年8月25日 08:01
重庆

在小说阅读器读本章

去阅读

DeepSeek 刚开源的 Agent 框架 DeepSeek Harness（DSH）被曝出未授权远程代码执行，CVSS 9.8 极危。根因是 /api 接口信任了可伪造的 HTTP Host 头，服务一旦暴露到非回环网络，攻击者就能绕过本地限制拿到与进程同级的权限，PoC 已公开。

01  漏洞速览

漏洞编号QVD-2026-57410（暂无 CVE）

影响产品DeepSeek Harness 0.1.1-rc.2

漏洞类型未授权远程代码执行（HTTP Host 头信任缺陷）

危害等级CVSS 9.8 极危

是否在野暂未见大规模在野

已公开 PoC有（技术细节同步公开）

攻击前提Web/API 暴露到非回环网络

影响面以 DSH 服务进程权限执行任意系统命令

02  漏洞成因

DSH Web 服务的 /api 接口用 HTTP Host 请求头判断请求是否来自本机回环地址，据此把一批高权限 RPC 接口限定在本机访问。问题在于 Host 头本身由客户端构造，伪造成本为零。

当 DSH 被部署到公网或局域网、又没有额外认证时，攻击者伪造 Host 头就能骗过这套判断，让高权限 RPC 接口把请求当成\"本机请求\"放行。攻击链很直白：远程访问 → 伪造 Host 头 → 绕过本地限制 → 调高权限 RPC → 驱动 DSH Agent 的 Bash、文件读写、代码执行能力 → 任意命令执行。

03  影响范围

受影响版本是 0.1.1-rc.2。DSH 默认监听 127.0.0.1，纯本机部署攻击面有限；真正的风险集中在两类暴露方式——Docker 把端口映射到 0.0.0.0，以及 Nginx、Apache 反向代理把服务转发到非回环网络。

04  利用分析

DSH 本身是 Agent 框架，自带 Bash 执行、文件读写、代码执行这些系统级能力。绕过 /api 之后直接调用它们，等于拿到与 DSH 进程完全相同的系统权限。PoC 和技术细节都已公开，暴露在外的实例等于\"开箱即用\"，随时可能被打。

05  检测与排查

先确认服务监听地址，别让它裸奔在公网：

netstat -an | grep <端口>

看到 0.0.0.0 而非 127.0.0.1，就要警惕

Docker 部署重点查端口映射：

docker ps

看 PORTS 列是否有 0.0.0.0:xxxx->xxxx

反向代理的，检查 location 是否把 /api 也代理了出去。更直接的办法是用伪造 Host 头去探 /api 的高权限接口，看是否返回了本不该外泄的数据。

06  修复建议

保持 127.0.0.1 / localhost 回环监听，别直接暴露公网。

检查 Docker 启动参数，避免 -p 0.0.0.0:xxxx 这类映射。

确需远程访问，在反代层加 mTLS、SSO、IP 白名单或 VPN，别把信任押在 Host 头上；同时对 /api 及高权限 RPC 接口做严格访问控制。

关注官方修复版本，出补丁后第一时间升级。

07  红队视角

这个洞的特别之处在于踩中的是\"刚刚火起来\"的框架。DeepSeek Harness 才开放预览没几天，一堆人正抢着本地部署、接自己的模型，图省事直接把端口映射出去的不在少数，恰好落在 Host 头信任这个缺陷上。

对防守方是个提醒：AI Agent 框架是全新的攻击面，配套的安全设计往往滞后于功能热度，部署这类新工具前先把暴露面收敛好，比事后补丁更现实。

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —