Ollamaのヒープ境界外読み取りの脆弱性CVE-2026-7482
- タグ
- 国外
CVE記録によると、Ollamaの0.17.1より前の版には、GGUFモデルローダーにヒープの境界外読み取りの脆弱性CVE-2026-7482がある［5］。漏れるメモリには、環境変数、APIキー、システムプロンプト、同時に使う利用者の会話のデータが含まれうる［5］。解決策は0.17.1以降への更新である［5］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS v3.1（Echo） | 9.1（CRITICAL）〔注1〕、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H | ［5］ |
| CVSS v4.0（Echo） | 8.8（HIGH） | ［5］ |
| CWE・CAPEC | CWE-125（境界外読み取り）、CAPEC-540（Overread Buffers） | ［5］ |
| CVE記録のタグ | x_unauthenticated、x_remote、x_information-disclosure | ［5］ |
| SSVC（CISA ADP） | Exploitation: none、Automatable: yes、Technical Impact: total | ［5］ |
| 発見者 | Cyera Research Team（発見の区分はEXTERNAL） | ［5］ |
| Cyeraの分類 | Process Memory Disclosure（状態はFixed） | ［11］ |
| NVDの状態 | Analyzed（CVSSはCNAのEchoの値だけ） | ［6］ |
採番機関のEchoはCVE記録で、/api/createは、宣言したテンソルのオフセットとサイズがファイルの実際の長さを超えるGGUFファイルを受け付けると説明した［5］。fs/ggml/gguf.goとserver/quantization.go（WriteTo()）の量子化の処理で、確保したヒープのバッファの先を読む［5］。漏れた内容は、生成されたモデルの成果物を/api/pushで攻撃者の管理するレジストリへ送ることで持ち出されうる［5］。上流の配布物では、/api/createと/api/pushに認証が無い［5］。
発見したCyeraは、この脆弱性を「Bleeding Llama」と名付けた［10］。Cyeraは技術報告で、GGUFはLLMを保存するファイル形式で、ヘッダーの後にテンソル（モデルの重み）ごとの名前、次元数、データ型、データの位置を示すオフセットが並ぶと説明した［11］。量子化はテンソルの数値の精度を下げてモデルを小さく速くする処理で、quantizeの指定があり、ファイルがGGUFで、現在の形式と違うときだけ走る［11］。
Cyeraの技術報告では、脆弱性はOllamaがGoのunsafeパッケージを使う唯一の箇所にある［11］。WriteToはテンソルの形の次元の積（Elements()）の数だけ要素を読むが、実際のデータの大きさと合うかの検証が無く、形に大きな数を入れるとバッファの先まで読む［11］。Cyeraはデータを壊さずに取り出すため、テンソルの型をF16にして目標の形式にF32を指定した（F16からF32は損失の無い変換）［11］。/api/pushはモデル名がHTTPのURIの形ならそのURIへモデルを送り、ファイルから作るモデルの名前をURIにするのを防ぐ検証は無い［11］。
Cyeraは検証で、llama3.1を入れたOllamaに3人の利用者が接続した状態のまま、テンソルの形を100万要素にしたGGUFファイルを送った［11］。漏れたデータには、利用者のプロンプト、他のモデルのシステムプロンプト、Ollamaを動かすマシンの環境変数が含まれた［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Cyera | Ollamaに脆弱性を報告した | ［11］ |
| 2026年 | Cyera | 受領の確認を求めた | ［11］ |
| 2026年 | - | CVE記録が公表日（datePublic）とした日にあたる | ［5］ |
| 2026年 | Ollama | 脆弱性を認めて修正案のPRを共有し、CVEは研究者が自ら申請するよう求めた | ［11］ |
| 2026年 | Cyera | 修正が有効であることを確かめ、CVEの申請について尋ねた | ［11］ |
| 2026年 | Ollama | Docker Hubのollama/ollamaにタグ0.17.1を4時10分（UTC）にpushした〔注2〕 | ［1］ |
| 2026年 | Cyera | MITREより速い手段としてGitHub Security Advisoriesを提案し、セキュリティの修正と明示せずに修正を出すと利用者が緊急性を知らないままになると警告した | ［11］ |
| 2026年 | Cyera | MITREにCVEを申請した | ［11］ |
| 2026年 | Cyera | MITREに申請の状況を問い合わせた | ［11］ |
| 2026年 | Cyera | MITREで解決しないため、第三者のCNAであるEchoに採番を依頼した | ［11］ |
| 2026年 | Echo | 依頼を受け付けてCVE-2026-7482を割り当て、Ollamaに知らせた | ［11］ |
| 2026年 | - | CVE-2026-7482の番号を予約した | ［5］ |
| 2026年 | Echo | CVE記録を12時38分（UTC）に公開した〔注3〕 | ［5］ |
| 2026年 | NIST | NVDに13時16分（UTC）に登録した | ［6］ |
| 2026年 | Cyera・Echo | Cyeraがブログと技術報告で詳細を、Echoが解説を公表した | ［10、11、12］ |
対象の製品と版
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 影響を受ける版 | 0以上0.17.1未満（semver）、該当ファイルはfs/ggml/gguf.goとserver/quantization.go | Echo（CVE記録） | ［5］ |
| 影響を受ける版 | cpe:2.3:a:ollama:ollamaの0.17.1未満 | NIST（NVD） | ［6］ |
| 影響を受ける版 | 「0.17.1 and earlier」 | AhnLab | ［14］ |
Debianのセキュリティトラッカーでは、パッケージollamaは収録前（ITP 1094806）で、修正版の項目は無い［4］。
開発元のFAQによると、Ollamaは既定で127.0.0.1のポート11434で待ち受け、待ち受けのアドレスは環境変数OLLAMA_HOSTで変える［19］。EchoはCVE記録で、文書にあるOLLAMA_HOST=0.0.0.0の構成が実際には広く使われ、インターネットへの大規模な露出を観測したと記した［5］。Cyeraは技術報告で、Ollamaは起動すると既定で全インターフェース（0.0.0.0）で認証なしに待ち受けると説明した［11］。Echoのブログによると、Ollamaはローカルホストのツールとして設計されたため認証を持たない［12］。
Cyeraは、認証の無い攻撃者がOllamaのプロセスのメモリ全体を漏らせるとし、インターネットに露出したサーバーを約300,000台とした［11］。OllamaをClaude Codeなどのツールにつなぐと、ツールの出力がOllamaサーバーのヒープに残り、攻撃者の手に渡りうるとも記した［11］。Cyeraはブログで、Ollamaを社内共有のAIアシスタントとして使う企業、Claude CodeなどのエージェントをOllama経由で使う開発チーム、規制業種の組織、ファイアウォールや認証プロキシの無いままネットワークから届く配備を、最も危険とした［10］。
Ollamaの規模について、CyeraはGitHubで約170,000のスター、Docker Hubで1億回を超えるダウンロードがあると記した［11］。Ollamaは2026年7月9日のブログで、890万人の開発者が使っていると公表した［20］。調達額は8,800万ドルとした［20］。
Ollamaの別番号の脆弱性
CERT/CCは4月22日、VU#518910で別番号の脆弱性CVE-2026-5757を公表した［7］。脆弱性はOllamaのモデル量子化エンジンにあり、モデルのアップロードの窓口に届く攻撃者がサーバーのヒープのメモリを読み、持ち出しうる［7］。CERT/CCはベンダーに連絡がつかず修正はまだ無いとし、モデルのアップロード機能の制限か無効化を暫定策に挙げた［7］。報告者がAIを使った脆弱性調査で見つけたことも記した［7］。
JPCERT/CCとIPAはJVNVU#90880682で、GGUFファイルの検証不備によるヒープの境界外読み取りと境界外書き込みの脆弱性を公表し、CERT/CCのワークアラウンドの適用を勧めた［9］。窓の杜は、この脆弱性をCVE-2026-5757として、対策パッチはまだ提供されていないと報じた［18］。CERT/CCは6月26日にCVE-2026-5757のCVE記録を公開し、影響を受ける版をv0.13.5とした［8］。
The Hacker Newsは、同じ時期にStrigaがOllamaのWindows版の更新の仕組みにある未修正の脆弱性2件（CVE-2026-42248、CVE-2026-42249）を公表したと報じた［16］。
修正と回避策
EchoはCVE記録で、PR #14406の修正は、読む前に宣言したテンソルのオフセットとサイズの和がGGUFファイルのサイズを超えないことを確かめ、量子化の処理でunsafeな読み取りの前に長さの確認を足すと説明した［5］。Ollamaは、GitHubにリリース『Release v0.17.1』と修正のプルリクエスト『ggml: ensure tensor size is valid』を掲載した［2、3］。AhnLabは、Release v0.17.1の手順で更新するよう勧めた［14］。
更新できるまでの回避策として、EchoはCVE記録に3つの措置を挙げた［5］。
- Ollamaを信頼できるインターフェースだけで待ち受けさせる（既定はOLLAMA_HOST=127.0.0.1）［5］
- /api/createと/api/pushに認証を求めるリバースプロキシを前に置く［5］
- /api/pushで攻撃者の管理するレジストリへ持ち出されるのを防ぐため、Ollamaのホストからの外向きの通信を制限する［5］
Cyeraのブログでは、24時間以内の対応として、修正の適用、すぐに適用できなければ既定のポート11434への外部からのアクセスの遮断、公開IPに露出したインスタンスの洗い出しを挙げた［10］。1週間以内の対応は、認証プロキシかAPIゲートウェイの配置、エージェント連携の見直し、ネットワークの分離、APIキー・トークン・認証情報の更新である［10］。インターネットから届くサーバーでは、環境変数やメモリ上の秘密が侵害されたおそれがあるとみるよう求め、Ollamaは認証なしにインターネットに向けるべきではないとした［10］。
Echoも、インスタンスが公開されていた場合は機密データが露出したおそれがあるとみて、認証情報の更新、ログの確認、出力の監査を勧めた［12］。Qualysは、脆弱な資産の検出用のQIDとして734196、387461、5012259を挙げ、詳細の参照先にGitHub Security Advisory（GHSA-x8qc-fggm-mpqg）を示した［13］。
採番までの経過
Echoのブログによると、修正を含むリリースのリリースノートは新機能と性能改善が中心で、セキュリティの問題、アドバイザリ、CVEは付いていなかった［12］。Mondooは、0.17.1のリリースノートが記した機能として、Nemotron対応、MLXのメモリ改善、ツールを使うモデルのWeb検索などを挙げた［15］。
Echoは、CyeraのMITREへのCVE申請が数か月解決せず、その間、脆弱性はスキャンツールや脆弱性フィードに出なかったと説明した［12］。Echoは修正を独自に技術検証してCVE-2026-7482を割り当て、重複を避けるためMITREへの当初の申請を取り下げさせた［12］。Mondooは、修正からCVEの割り当てまでの約2か月、NVDに頼るスキャナーには警告するものが無かったと記した［15］。
未公表の事項
- 開発元のOllamaによる脆弱性の説明と告知
- 悪用の観測の報告と、CISAのKEVカタログへの登録
- 露出したサーバーでの被害の有無と件数
- CVE-2026-7482とCVE-2026-5757の関係
注
出典
当事者
- ［1］Ollama Inc.『ollama/ollama 0.17.1』（2026年2月26日公開）
- ［2］Ollama Inc.『Release v0.17.1』（公開日不明、保存記録のみ） 保存記録
- ［3］Ollama Inc.『ggml: ensure tensor size is valid』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［4］Debian Project『CVE-2026-7482』（公開日不明、2026年11月7日閲覧）
公的機関
- ［5］CVE Program『CVE-2026-7482: Ollama heap out-of-bounds read in GGUF tensor parsing leaks server process memory to unauthenticated remote attackers』（2026年5月4日公開）
- ［6］National Institute of Standards and Technology『CVE-2026-7482』（2026年5月4日公開、2026年6月17日更新）
- ［7］CERT Coordination Center『Vulnerability Note VU#518910: Ollama GGUF Quantization Remote Memory Leak』（2026年4月22日公開）
- ［8］CVE Program『CVE-2026-5757』（2026年6月26日公開）
- ［9］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVNVU#90880682: Ollamaにおける境界外の読み取りおよび書き込みの脆弱性』（2026年5月11日公開）
調査・観測
- ［10］Cyera『Bleeding Llama: A Critical Memory Leak in the World's Most Popular Local AI Platform』（2026年5月5日公開）
- ［11］Cyera『Bleeding Llama: Critical Unauthenticated Memory Leak in Ollama』（2026年5月5日公開）
- ［12］Echo『CVE-2026-7482: Critical Ollama memory vulnerability explained』（2026年5月5日公開）
- ［13］Qualys, Inc.『Ollama Heap Out-of-bounds Read Vulnerability Leads to Remote Process Memory Leak (CVE-2026-7482)』（2026年5月11日公開、2026年5月26日更新）
- ［14］AhnLab, Inc.『Ollama Product Security Update Advisory (CVE-2026-7482)』（2026年5月12日公開）
- ［15］Mondoo, Inc.『Three Ollama CVEs in One Week: Bleeding Llama Plus Two Windows Updater Flaws Awaiting Release』（2026年5月11日公開）
報道機関
- ［16］The Hacker News『Ollama Out-of-Bounds Read Vulnerability Allows Remote Process Memory Leak』（2026年5月10日公開）
- ［17］SecurityWeek『Critical Bug Could Expose 300,000 Ollama Deployments to Information Theft』（2026年5月5日公開）
- ［18］株式会社インプレス『大規模言語モデル（LLM）のローカル実行ツール「Ollama」に脆弱性、パッチはまだなし』（2026年5月12日公開）
背景資料
- ［19］Ollama Inc.『FAQ』（公開日不明、2026年11月7日閲覧）
- ［20］Ollama Inc.『Ollama: all aboard open models』（2026年7月9日公開）
更新記録
- 2026年5月11日：公開した。
- 2026年5月12日：AhnLabの5月12日のアドバイザリ（出典14）の影響を受ける版と更新の手順を「対象の製品と版」「修正と回避策」に、窓の杜の5月12日の記事（出典18）のCVE-2026-5757の記述を「対象の製品と版」に加えた。
- 2026年5月26日：Qualysの5月26日に更新された告知（出典13）のCVSSの値と検出用のQIDを「注」「修正と回避策」に加えた。
- 2026年6月17日：NVDの6月17日に更新された記録（出典6）の分析の状態と構成を「脆弱性の内容」「対象の製品と版」に加えた。
- 2026年6月26日：CERT/CCが6月26日に公開したCVE-2026-5757のCVE記録（出典8）の影響を受ける版を「対象の製品と版」に加えた。
- 2026年7月9日：Ollamaの7月9日のブログ（出典20）の開発者数と調達額を「対象の製品と版」に加えた。