何が起きたか
2026年9月3日にNVDに公開されたこのSSRF（スコアリング方法に応じてCVSS 7.5/8.7）は、モデルレジストリを制御する認証されていない攻撃者が、細工されたtensor-layerマニフェストを提供することで、Ollamaのblob-downloadリクエストを内部ホストにリダイレクトできます。
なぜ重要か
Ollamaは最も広く配備されているローカル/セルフホストLLM推論サーバーの1つです。この脆弱性により、ルーチンのモデルプル操作がメタデータサービス経由でクラウド認証情報を公開できるSSRFプリミティブに変わり、Ollamaがクラウドエンドポイントを経由してクラウドIAMロールが接続された状態で実行されている環境に直接の脅威をもたらします。
攻撃経路
Ollamaはtensor-layerモデルblobをプルする際にHTTPリダイレクト先を検証できません。レジストリを制御する攻撃者（またはマニフェストを傍受する攻撃者）は、サーバーのblob-fetch GETリクエストを認証なしで任意の内部ホスト（クラウドメタデータエンドポイント（例：169.254.169.254など）を含む）にリダイレクトする悪意あるtensor-layerマニフェストを提供できます。
影響を受けるシステム
Ollama 0.30.0から0.33.2
緩和策
Ollamaを0.33.2より新しいパッチリリースにアップグレードしてください。Ollamaホストからのアウトバウンドネットワークエグレスを制限してください。信頼できるレジストリからのみモデルをプルしてください。