CVE-2026-7482: Heap Out-of-Bounds in Ollama
プラットフォーム
go
コンポーネント
ollama
修正版
0.17.1
Ollamaのバージョン0.0.0から0.17.1までのバージョンには、GGUFモデルローダーにヒープバッファオーバーリードの脆弱性が存在します。攻撃者は、宣言されたテンソルオフセットとサイズがファイルの実際の長さを超える悪意のあるGGUFファイルを/api/createエンドポイントに送信することで、この脆弱性を悪用できます。この脆弱性の悪用により、機密情報が漏洩する可能性があります。
このCVEがあなたのプロジェクトに影響するか確認
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。
影響と攻撃シナリオ
この脆弱性は、攻撃者がOllamaサーバー上で機密情報を盗むことを可能にします。具体的には、環境変数、APIキー、システムプロンプト、および現在のユーザーの会話データが漏洩する可能性があります。攻撃者は、悪意のあるGGUFモデルをアップロードし、その結果として生成されたモデルアーティファクトを/api/pushエンドポイントを通じて攻撃者の制御下にあるサーバーに送信することで、これらの情報を抽出できます。この脆弱性は、Ollamaをホストするサーバーのセキュリティを損ない、機密データの漏洩につながる可能性があります。攻撃者は、この脆弱性を利用して、Ollamaサーバー上で実行されている他のアプリケーションへのアクセス権を取得し、さらなる攻撃を実行する可能性があります。
悪用の状況
この脆弱性は、まだ積極的に悪用されているという報告はありません。しかし、その深刻度と、GGUFモデルの作成が比較的容易であることから、将来的に悪用される可能性があります。NVDおよびCISAは、2026年5月4日にこの脆弱性を公開しました。この脆弱性は、KEVに掲載されている可能性があり、EPSSスコアは、悪用される可能性が高いことを示唆する可能性があります。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.10% (27% パーセンタイル)
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- なし — 完全性への影響なし。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
- EPSS 更新日
緩和策と回避策
この脆弱性への最良の対応策は、Ollamaをバージョン0.17.1にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、OllamaサーバーへのGGUFファイルのアップロードを制限するファイアウォールルールまたはプロキシルールを実装することを検討してください。また、GGUFモデルの検証を強化し、宣言されたテンソルオフセットとサイズがファイルの実際の長さを超えるファイルを拒否するようにOllamaを構成することもできます。アップグレード後、Ollamaサーバーのログを監視して、異常なアクティビティがないか確認してください。
修正方法翻訳中…
Actualice a la versión 0.17.1 o posterior para mitigar la vulnerabilidad de lectura fuera de límites en el analizador de tensores GGUF. Esta actualización corrige el problema al verificar los límites del búfer antes de acceder a la memoria.
よくある質問
CVE-2026-7482 — ヒープオーバーリードはOllamaで何ですか？
CVE-2026-7482は、Ollamaのバージョン0.0.0から0.17.1までのGGUFモデルローダーに存在するヒープバッファオーバーリードの脆弱性です。悪意のあるGGUFファイルにより、機密情報が漏洩する可能性があります。
CVE-2026-7482でOllamaを使用していますか？
Ollamaのバージョン0.0.0から0.17.1を使用している場合は、この脆弱性の影響を受ける可能性があります。バージョン0.17.1にアップグレードすることを強くお勧めします。
CVE-2026-7482でOllamaを修正するにはどうすればよいですか？
Ollamaをバージョン0.17.1にアップグレードしてください。アップグレードがシステムに影響を与える場合は、一時的な回避策として、OllamaサーバーへのGGUFファイルのアップロードを制限するファイアウォールルールを実装することを検討してください。
CVE-2026-7482は積極的に悪用されていますか？
現時点では、この脆弱性が積極的に悪用されているという報告はありませんが、その深刻度から将来的に悪用される可能性があります。
CVE-2026-7482の公式Ollamaアドバイザリはどこで入手できますか？
公式アドバイザリは、Ollamaのセキュリティアドバイザリページで確認できます。https://github.com/jmorganca/ollama/security/advisories
このCVEがあなたのプロジェクトに影響するか確認
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。
Goプロジェクトを今すぐスキャン — アカウント不要
Upload your go.mod and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...