Ollama: Pfad-Traversierung führt zu Remote Code Execution

Zusammenfassung

Ollama-Versionen ab 0.34.2 bis vor 0.35.0 enthalten eine Pfad-Traversierung im Endpunkt /api/pull. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über einen manipulierten Layer-Digest eine schädliche Datei ausserhalb des Modellspeichers schreiben. Hat der Serverprozess Schreibrechte auf /usr/lib/ollama, was in den meisten Ollama-Docker-Images der Standard ist, wird die Datei beim nächsten Serverneustart geladen und als root ausgeführt, was zu Remote Code Execution führt.

Betroffen

• Ollama 0.34.2 bis vor 0.35.0 (gemäss CERT Polska)
• Ausnutzung setzt voraus, dass der Serverprozess Schreibrechte auf /usr/lib/ollama hat, was in den meisten Docker-Images der Standard ist
• VulDB nennt Versionen bis 0.34.9; die untere Grenze ist von Ollama nicht bestätigt

Behoben in

• Ollama 0.35.0 oder neuer

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Den Netzwerkzugriff auf die Ollama-API auf die benötigten Clients beschränken.
• Schreibrechte des Dienstprozesses auf /usr/lib/ollama und andere Verzeichnisse, aus denen Code geladen wird, entfernen.

Ausnutzung

• Ein öffentlicher Proof-of-Concept existiert (gemäss dem italienischen CSIRT ACN).
• Es wurde keine Ausnutzung gemeldet; in den geprüften Quellen nicht als bekanntermassen ausgenutzt gekennzeichnet.
• Ausnutzung in freier Wildbahn: unbekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS: 0.00714 zum Zeitpunkt des Vulners-Eintrags.

Unsere Empfehlung

• Alle Ollama-Instanzen, inklusive Docker-Images und Paketen, auf 0.35.0 oder neuer aktualisieren.
• Bis zur Aktualisierung den Netzwerkzugriff auf die Ollama-API einschränken und Schreibrechte auf /usr/lib/ollama entfernen.
• Prüfen, ob Ollama-Instanzen aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
• Nach dem Patchen Modellspeicher und /usr/lib/ollama auf unerwartete Dateien prüfen; bei Verdacht auf eine Kompromittierung Container aus einem frischen Image neu aufbauen.
• Logs auf ungewöhnliche /api/pull-Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  striga-ai/CVE-2026-103663

Quellen der Recherche

• CERT Polska advisory CVE-2026-103663 cert.pl
• OSV record CVE-2026-103663 osv.dev
• ACN alert on public PoC for CVE-2026-103663 www.acn.gov.it
• Technical analysis of the model delivery path (dev.to) dev.to
• Third-party check guide (dev.to) dev.to
• Researcher write-up on digestToPath issues (GitHub) github.com
• VulDB entry CVE-2026-103663 vuldb.com
• Ollama ollama.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:11.