Kerentanan  ·  2026-04-30

Kerentanan RCE Ganda dalam Mekanisme Update Ollama Windows Memungkinkan Eksekusi Kode

KerentananHigh dampakGlobalCVE-2026-42248, CVE-2026-42249
Dua kerentanan tingkat tinggi (CVSS 7.7) dalam Ollama untuk Windows memungkinkan eksekusi kode jarak jauh melalui mekanisme pembaruan aplikasi. CVE-2026-42248 memungkinkan eksekusi kode sewenang-wenang karena Ollama untuk Windows tidak melakukan verifikasi integritas atau keaslian executable pembaruan yang diunduh—implementasi Windows tanpa syarat mengembalikan kesuksesan tanpa verifikasi tanda tangan digital atau kepercayaan. CVE-2026-42249 memungkinkan RCE melalui penanganan yang tidak tepat terhadap header respons HTTP yang dikontrol penyerang selama unduhan pembaruan, di mana aplikasi membuat jalur file lokal menggunakan nilai header tanpa validasi.
Untuk CVE-2026-42248, penyerang melakukan serangan man-in-the-middle selama pemeriksaan pembaruan untuk menyajikan executable berbahaya yang akan dipentaskan dan dieksekusi Ollama tanpa verifikasi. Untuk CVE-2026-42249, penyerang memanipulasi header respons HTTP (seperti Content-Disposition) untuk menyuntikkan urutan path traversal, menyebabkan Ollama menulis file berbahaya di luar direktori pembaruan yang ditentukan, kemudian mengeksekusinya. Kedua serangan dapat dirantai atau digunakan secara independen tergantung pada posisi jaringan.
Instalasi Ollama untuk Windows yang memeriksa pembaruan. Ollama adalah alat yang tersebar luas untuk menjalankan model bahasa besar secara lokal, digunakan oleh pengembang dan organisasi untuk inferensi LLM offline. Kerentanan tidak mempengaruhi Ollama di macOS atau Linux, di mana rutinitas verifikasi pembaruan diimplementasikan dengan benar.
CERT Poland mengungkapkan kerentanan pada 29 April 2026. Pengguna harus memeriksa patch vendor dan menerapkan segera saat tersedia. Sebagai kontrol interim, nonaktifkan pembaruan otomatis di Ollama untuk Windows dan verifikasi secara manual integritas pembaruan menggunakan checksum yang disediakan vendor. Pantau lalu lintas jaringan untuk permintaan HTTP terkait pembaruan yang tidak biasa. Organisasi harus menilai apakah instance Ollama diterapkan di workstation pengembang dengan akses ke infrastruktur AI produksi.
Sumber
CERT Poland — Ollama vulnerabilitiesNVD — CVE-2026-42248NVD — CVE-2026-42249
Lihat di umpan langsung Jelajahi temuan keamanan dan tata kelola AI terkait — diperbarui setiap pagi.
Buka umpan →