llama.cpp: Use-after-free und Double Free im Chat-Parser

Zusammenfassung

llama.cpp-Versionen vor b11393 enthalten eine Use-after-free- und Double-Free-Schwachstelle im Chat-Output-Parser (common_chat_peg_mapper::map). Ein entfernter Angreifer kann ohne Authentifizierung eine präparierte chat_parser-Anfrage an den Endpunkt POST /completion von llama-server senden, wodurch der Server abstürzen und der Heap-Speicher beschädigt werden kann. Eine Codeausführung wurde nicht demonstriert, und eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• llama.cpp-Versionen ab b8227 bis einschliesslich vor b11393
• Betroffene Komponente: llama-server (Endpunkt /completion) und der Chat-Parser
• Downstream-Pakete und Container, die llama.cpp enthalten, müssen separat geprüft werden

Behoben in

• Auf llama.cpp b11393 oder neuer aktualisieren
• Fix-Commit: dbe4c3e
• Commit oder Build-Nummer der tatsächlich verwendeten Binärdatei prüfen

Umgehung

• Kein offizieller Workaround gefunden.
• Netzwerkzugriff auf llama-server einschränken und den Endpunkt /completion bis zur Behebung nicht gegenüber unvertrauenswürdigen Netzen exponieren.
• Authentifizierung an einem Reverse Proxy vor llama-server erzwingen (eigene Empfehlung, keine Herstelleraussage).

Ausnutzung

• Nicht bekannt, dass die Schwachstelle in freier Wildbahn ausgenutzt wird; soweit geprüft, nicht im CISA-KEV-Katalog.
• EPSS etwa 0.4%.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein eigenständiger öffentlicher Exploit gefunden.

Unsere Empfehlung

• Alle llama.cpp- und llama-server-Instanzen inventarisieren, einschliesslich Container und mitgelieferter Anwendungen.
• Auf b11393 oder neuer aktualisieren und die laufende Binärdatei verifizieren.
• Bis zur Behebung den Zugriff auf den Server einschränken und Authentifizierung an einem Proxy verlangen.
• Upstream-Repository und NVD auf Updates überwachen.
• Die separate llama.cpp-Use-after-free-Schwachstelle CVE-2026-43631 für Versionen b7492 bis b9060 prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Fix pull request #29942 github.com
• Fix commit dbe4c3e github.com
• llama.cpp release b11393 github.com
• Ubuntu security notice ubuntu.com
• SUSE CVE via Vulners vulners.com
• Debian security tracker security-tracker.debian.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:48.