VulnCheckは2026年9月8日、DeepSeekのコーディングエージェント基盤「DeepSeek Harness」の脆弱性CVE-2026-82533を公表しました。深刻度はCriticalで、CVSS v4のスコアは9.4です。影響を受けるのは0.1.2-alpha.1より前のバージョンで、報告者はOX ResearchのNir Zadok氏とMoshe Siman Tov Bustan氏です。
何が起きるか
DeepSeek Harnessはローカルで動くHTTPの制御プレーンAPIを持ちますが、対象バージョンではリクエストの許可判定にクライアントが送るHostヘッダーの値だけを使い、実際のTCP接続元を確認していませんでした(CWE-807: セキュリティ判断における信頼できない入力への依存)。攻撃者はHostヘッダーを偽装するだけで、資格情報やAPIキーなしに次の操作ができます。
- danger-full-access権限でのcommands/executeなど特権コマンドの実行
- セッションの承認ポリシーを制限なしの実行へ引き上げること
- 保存されている会話の全件取得
エージェント自身がサンドボックスを外せる
The Hacker Newsの報道によると、OX Researchはこの欠陥を使って、サンドボックス内のエージェントがシェルコマンド1つで自分のサンドボックスを解除できることを示しました。Harnessのサンドボックスは書き込み先をワークスペースと一時フォルダに限定しますが、読み取りとネットワークは制限しません。さらにHarnessはエージェントのシェルに制御APIのアドレスと現在のセッションIDを渡しているため、エージェントは探す必要なくAPIを呼べます。攻撃者が用意したテキストをエージェントが読み込んで呼び出しを促されると、承認プロンプトなしにセッションがdanger-full-accessに切り替わります。
外部の機械から到達するには、利用者がトンネルやSSHのポート転送、エディタの転送機能などでポートを外へ出している必要があります。Harnessのコマンドラインは全インターフェースでの待ち受けを拒否するためです。
影響バージョンと対処
影響を受けるのは0.1.1-rc.2以前です。修正版とされる0.1.2-alpha.1は8月27日にGitHubへ入りましたがnpmには公開されず、npmで修正を含む最初のリリースは8月30日の0.1.2-alpha.2です。9月3日公開の現行0.1.2-rc.1にも修正が含まれます。修正後は起動時に表示されるワンタイムトークンをブラウザが署名付きCookieに交換し、APIの呼び出しにそのCookieを必須にしています。
推奨される対処は次のとおりです。
- 0.1.2-alpha.2以降へ更新する
- サードパーティのデスクトップアプリ経由で導入している場合は、同梱されているHarnessのバージョンを確認する
- 更新できない場合は、使っていない時にWebインターフェースを止め、そこへ届くトンネル・プロキシ・ポート転送を外す
なお修正はサンドボックスの範囲を変えておらず、読み取りとネットワークは引き続き制限されません。The Hacker Newsは、同じ問題が8月13日と14日にDeepSeekの公式ディスカッションで報告されていたこと、リポジトリにセキュリティアドバイザリが公開されておらず、修正がリリースノートで通常の変更として扱われていることも伝えています。プロジェクトの安全に関する注意書きは、このソフトウェアがセキュリティ監査を受けておらず、サンドボックスと承認プロンプトは隔離や被害防止を保証しないと明記しています。
まだコメントはありません。