CVE-2026-82033 in DeepSeek Harness
요약
\~에 의해 VulDB • 2026. 11. 04.
0.1.2-alpha.2 이전 버전의 DeepSeek Harness, 특히 커밋 3e24087에는 웹 프로필 HTTP 및 WebSocket RPC 제어 평면에서 인증 누락 취약점이 존재합니다. 이로 인해 다른 OS 사용자로 실행되는 프로세스를 포함한 모든 로컬 프로세스가 session.create 및 session.prompt와 같은 비인증 세션 메서드에 접근할 수 있습니다. 공격자는 session.prompt를 호출하여 에이전트의 bash 및 파일 시스템 도구를 트리거하고, 구성된 모델 자격 증명을 사용하여 피해자 사용자 권한으로 임의 명령 실행을 달성하며, 이벤트 멀티플렉싱 스트림을 통해 실시간 세션 트래픽과 로그를 가로채고, ungated 스트림에서 브로드캐스트되는 rpcId, approvalId 및 sessionId 값만 일치시킴으로써 POST /api/respond를 통한 인간 도구 승인 검사를 우회할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.