Een kwetsbaarheid met het label CVE-2026-85180 is naar voren gekomen in Ollama, de open-source tool die large language models serveert. Iedereen die een modelnaam kan opgeven, kan de server contact laten opnemen met privénetwerkadressen — inclusief cloud-metadata-endpoints — zonder enige authenticatie. De fout creëert een risico op uitgaand netwerkverkeer dat interne services kan blootstellen.

Hoe de exploit werkt

  1. Een aanvaller bouwt een nep-modelregister dat lijkt op een legitieme bron.
  2. Het register geeft een manifest terug met een URL die doorverwijst naar een kwaadaardige link.
  3. Wanneer Ollama het model binnenhaalt, volgt de tensor-downloader de doorverwijzing zonder vragen te stellen.
  4. Het omgeleide verzoek kan gericht zijn op elk adres, zoals het bekende metadata-IP 169.254.169.254 of andere interne servers achter firewalls.
  5. Omdat het downloadproces geen login vereist, heeft de aanvaller geen inloggegevens nodig om het verzoek te triggeren.

Het kernprobleem is dat de component die tensorbestanden downloadt, nooit controleert of de uiteindelijke host publiek of privé is. Andere onderdelen van Ollama voeren die controle wel uit; de downloader niet.

Waarom dit belangrijk is

Als uw Ollama-server zich in de buurt van gevoelige API's of cloud-credentials bevindt, vormt de mogelijkheid om interne adressen te bereiken een ernstige zorg.

Huidige status

Versie v0.33.2 is kwetsbaar. De fout is geïdentificeerd als CVE-2026-85180.

Directe beschermingsstappen

  • Beperk modelnamen: Blokkeer onbetrouwbare gebruikers die willekeurige model-identificatoren opgeven aan een Ollama-server.
  • Egress-filtering: Stop uitgaand verkeer van de Ollama-host naar het cloud-metadata-adres 169.254.169.254.
  • Gecureerde registers: Haal modellen alleen binnen uit een privé-register dat door u wordt beheerd en is gecontroleerd.
  • Log-monitoring: Houd pull-verzoeken in de gaten die naar interne IP's of ongebruikelijke hostnames leiden en sla alarm bij dergelijke gebeurtenissen.

Deze stappen lossen de fout niet op, maar ze verhogen de drempel voldoende om tijd te winnen totdat er een officiële fix beschikbaar is.

Kernpunt: Het gebruiksgemak van Ollama verbergt een netwerkblootstelling; totdat de patch beschikbaar is, moet u de mogelijkheid om met interne adressen te communiceren blokkeren en beperken wie model-downloads kan aanvragen.