Impatto Sistemico

Critico (78.71)

Sintesi

Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-103663 presente in Ollama, noto motore di inferenza open source che consente di eseguire LLM in locale. Tale vulnerabilità potrebbe consentire a un utente malintenzionato remoto non autenticato di eseguire codice arbitrario sui sistemi interessati.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-103663, di tipo ” Path Traversal ” e con score CVSSv4 pari a 9.4, è dovuta all’assenza di validazione del digest utilizzato durante il download dei modelli prima della scrittura sul filesystem. Un attaccante non autenticato potrebbe sfruttare tale vulnerabilità inviando richieste HTTP opportunamente predisposte al dispositivo interessato al fine di scrivere file al di fuori delle directory previste e collocare una libreria condivisa arbitraria in percorsi caricati dall’applicazione al successivo riavvio, consentendo l’esecuzione di codice arbitrario con privilegi elevati.

Prodotti e/o versioni affette

Ollama, versioni dalla 0.34.2 alla 0.35.0 (esclusa)

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare tempestivamente le versioni vulnerabili all’ultima release disponibile.