LocalAI: Server-side Request Forgery über HTTP-Weiterleitungen beim Abruf der Galerie-Konfiguration

Zusammenfassung

LocalAI in den Versionen 4.6.0 bis 4.11.0 prüft nur die initiale URL einer Galerie-Konfiguration, nicht die Weiterleitungsziele danach. Ein Angreifer, der über POST /models/apply eine Konfigurations-URL übermitteln kann, kann den Server auf interne oder Cloud-Metadaten-Adressen umleiten und deren Antworten als Galerie-Inhalt erhalten. Das Hauptrisiko ist die Offenlegung interner Daten und von Cloud-Metadaten-Zugangsdaten, und es ist am grössten, wenn der Endpunkt aus nicht vertrauenswürdigen Netzen erreichbar ist.

Betroffen

• LocalAI v4.6.0 bis v4.11.0 (CNA-Eintrag: betroffen ab v4.6.0 bis einschliesslich v4.11.0)
• Der CNA-Eintrag gibt an, dass die Standardkonfiguration nicht betroffen ist; die Auslösebedingungen sind nicht vollständig bestätigt.

Behoben in

Unbekannt. Es wurde keine bestätigte korrigierte Version gefunden.

• Fix-Kandidat: PR #12791 (Status von Merge und Release nicht bestätigt).

Umgehung

Kein vom Hersteller genannter Workaround gefunden.

• LocalAI nicht direkt aus dem Internet erreichbar machen.
• Ausgehenden Verkehr vom LocalAI-Host einschränken, einschliesslich des Zugriffs auf Link-Local-Metadaten- und interne Adressbereiche.
• Den Zugriff auf den Modell-Galerie-Endpunkt einschränken oder Galerie-Quellen auf vertrauenswürdige beschränken.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; CISA SSVC: Exploitation none, Automatable yes.
• VulDB schätzt die Ausnutzung als einfach ein und ohne Authentifizierung möglich (Einschätzung eines Drittanbieters).

Unsere Empfehlung

• Alle LocalAI-Instanzen und deren genaue Versionen erfassen; die Versionen 4.6.0 bis 4.11.0 sind betroffen.
• Die Internet-Exposition zuerst entfernen, LocalAI hinter einen authentifizierten Reverse Proxy oder ein VPN stellen.
• Ausgehenden Zugriff des Hosts auf Metadaten- und interne Adressbereiche blockieren.
• Auf eine korrigierte Version aktualisieren, sobald diese auf der LocalAI-Release-Seite bestätigt ist.
• CVE-2026-59707 (nicht authentifizierte SSRF im Endpunkt POST /models/apply) ebenfalls gegen die eigene Version prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: LocalAI SSRF guard bypass via HTTP redirects www.vulncheck.com
• LocalAI fix candidate PR #12791 github.com
• LocalAI gallery.go at v4.11.0 github.com
• LocalAI downloader uri.go at v4.11.0 github.com
• LocalAI HTTP client at v4.11.0 github.com
• LocalAI releases github.com
• VulDB entry 424934 vuldb.com
• OpenCVE CVE-2026-114493 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:07.