Vulnerabilitas in software Ollama
CVE ID
CVE-2026-103663
Publication date
08 Octobris 2026
Vendor
Ollama
Product
Ollama
Vulnerable versions
Ab 0.34.2 ad 0.35.0
Vulnerability type (CWE)
Relative Path Traversal (CWE-23)
Report source
Report to CERT Polska
Description
CERT Polska nuntium accepit de vulnerabilitate in software Ollama et in coordinatione eius revelationis participavit.
Vulnerabilitas CVE-2026-103663: Ollama vulnerabilis est ad transitus viae in /api/pull puncto ob insufficientem validationem digestorum stratum a functione digestToPath. Attacker remotus non authentificatus potest definire seriem transitus viae ut digestum stratum, causando ut malitiosum binarium extra thesaurum modelis scribatur.
Critice, si processus servitoris accessum scribendi ad /usr/lib/ollama habet (default in plerisque imaginibus Docker Ollama), attacker malitiosum file ad illam directory scribere potest. In proximo restart servitoris, file onerat et exequitur, resultans in exsecutione codicis remoti ut root.
Haec quaestio in versione 0.35.0 emendata est.
Credits
Gratias agimus Bartłomiej Dmitruk (striga.ai) pro responsabili nuntio vulnerabilitatis.
Plura de processu revelationis vulnerabilitatis coordinatae apud CERT Polska in https://cert.pl/en/cvd/ inveniuntur.