- Yama var
- Son 7 gün
- CWE-306
CVE-2026-82033
DeepSeek Harness kimlik doğrulamasız RPC üzerinden komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yazılımın yerel ağdaki herhangi bir kullanıcı tarafından giriş yapılmadan kötüye kullanılmasına izin verebilir. Saldırganlar sunucu üzerinde komut çalıştırabilir ve kullanılan yapay zeka hizmetine ait erişim bilgilerini ele geçirebilir. Bu nedenle etkilenen sistemlerin hemen güncellenmesi ve risk altındaki hizmetlerin gözden geçirilmesi önerilir.
ÖzetTürkçe
DeepSeek Harness'in 0.1.2-alpha.2 öncesi sürümlerinde (özellikle 3e24087 commit'i) web profili HTTP ve WebSocket RPC kontrol düzleminde kimlik doğrulama eksikliği bulunmaktadır. Bu nedenle sistemde yerel olarak çalışan herhangi bir süreç, farklı bir işletim sistemi kullanıcısı olsa bile oturum metotlarına erişebilmektedir. Etkilenen sürüm 0.1.2-alpha.2'den önceki tüm sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan, oturum üzerinden ajanın bash ve dosya sistemi araçlarını tetikleyerek kurban kullanıcının yetkileriyle keyfi komut çalıştırabilir; yapılandırılmış model kimlik bilgilerini kullanabilir, canlı oturum trafiğini ve günlükleri ele geçirebilir ve insan onayı gerektiren araç kontrollerini atlayabilir.
Kaynaktaki açıklama (İngilizce)
DeepSeek Harness prior to 0.1.2-alpha.2, and specifically commit 3e24087, contains a missing authentication vulnerability in its web profile HTTP and WebSocket RPC control plane, allowing any local process, including those running as a different OS user, to reach unauthenticated session methods such as session.create and session.prompt. Attackers can invoke session.prompt to trigger the agent's bash and filesystem tools, achieve arbitrary command execution as the victim user using their configured model credentials, intercept live session traffic and logs over the event mux stream, and bypass human tool-approval checks via POST /api/respond by matching only rpcId, approvalId, and sessionId values broadcast over the ungated stream.
Ne yapmalı?
- DeepSeek Harness yazılımını 0.1.2-alpha.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar web profili RPC arayüzüne erişimi yerel süreçlerden ve diğer kullanıcılardan ağ ve işletim sistemi seviyesinde kısıtlayın. Genel öneri
- Güncellemeden sonra kullanılan model kimlik bilgilerini yenileyin, çünkü bu bilgiler açık sırasında ele geçirilmiş olabilir. Genel öneri
Ek önlemler
- Yazılımın kimlik doğrulamasız RPC çağrılarını ve beklenmeyen oturum oluşturma veya istem gönderme işlemlerini günlüklerde izleyin. Genel öneri
- Ajan araçlarını en az yetki ilkesiyle çalıştırın ve mümkünse ayrıcalıklı kullanıcılar altında çalıştırmaktan kaçının. Genel öneri
- Yazılımın yalnızca loopback veya güvenilen ağ arayüzlerinde dinlemesini sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| deepseek-ai deepseek-harness | < 0.1.2-alpha.2 | 0.1.2-alpha.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.