Se ha descubierto una vulnerabilidad crítica y sin parchear en Ollama, una plataforma de código abierto ampliamente utilizada para ejecutar modelos de lenguaje grandes (LLM) de forma local. Registrada como CVE-2026-5757, esta grave fuga de memoria permite a atacantes remotos no autenticados extraer datos sensibles directamente del heap de un servidor. Fue descubierta por el investigador de seguridad Jeremy Brown mediante investigación de vulnerabilidades asistida por IA y revelada públicamente en abril.

• Los ciberdelincuentes pueden explotar las subidas de modelos en Ollama para filtrar información confidencial del servidor.

Se ha descubierto una vulnerabilidad crítica y sin parchear en Ollama, una plataforma de código abierto ampliamente utilizada para ejecutar Modelos de Lenguaje Grande (LLM) de forma local.

Registrada como CVE-2026-5757, esta grave fuga de memoria permite a atacantes remotos no autenticados extraer datos sensibles directamente del heap de un servidor.

Descubierta por el investigador de seguridad Jeremy Brown mediante investigación asistida por IA y revelada públicamente el 22 de abril de 2026, el exploit apunta a la interfaz de carga de modelos de la plataforma.

Dado que los desarrolladores aún no han lanzado una actualización de software, los administradores deben asegurar activamente sus implementaciones para evitar accesos no autorizados.

Riesgos de la cuantización de modelos de IA

Ollama está diseñado para ayudar a los desarrolladores a ejecutar modelos de IA intensivos en recursos en hardware estándar en Windows, macOS y Linux.

Para hacer esto posible, la plataforma depende de una técnica de compresión llamada cuantización de modelos, que reduce la precisión matemática del modelo de IA para ahorrar memoria y potencia de procesamiento.

Aunque es altamente eficiente, el motor de cuantización de Ollama tiene un fallo fatal en cómo maneja las cargas de archivos entrantes. Los hackers pueden explotar este proceso manipulando deliberadamente los metadatos ocultos dentro de los archivos de modelo.

El ataque comienza cuando un actor malicioso carga un archivo en formato unificado generado por GPT (GGUF) especialmente diseñado en el servidor objetivo.

Esta carga desencadena una peligrosa combinación de tres fallos de software distintos que exponen la memoria:

• El motor omite la verificación de límites al confiar ciegamente en los metadatos del archivo, en lugar de comprobar que el recuento de elementos declarado coincide con el tamaño real de los datos.
• El sistema ejecuta un acceso inseguro a la memoria utilizando el comando unsafe.Slice de Go, permitiendo que la aplicación lea memoria mucho más allá del búfer de datos legítimo y acceda al heap del servidor.
• El servidor escribe inadvertidamente estos datos filtrados del heap en una nueva capa de modelo, creando un canal oculto pero altamente efectivo para la exfiltración de datos.
• El atacante utiliza la API de registro integrada de Ollama para enviar fácilmente esta nueva capa, llena de datos, a su propio servidor externo.

La memoria del heap puede contener información altamente sensible del sistema, incluyendo claves de cifrado, credenciales de usuario, tokens de API y prompts privados de usuarios.

Exponer estos datos puede llevar a un compromiso total del sistema y permitir a los atacantes establecer persistencia sigilosa y a largo plazo dentro de una red corporativa.

Dado que el proveedor no respondió durante el proceso de divulgación, no existe un parche oficial para corregir el fallo subyacente en el código.

Según CERT/CC, los equipos de seguridad deben aplicar mitigaciones defensivas inmediatas para proteger su infraestructura:

• Desactiva por completo la funcionalidad de carga de modelos si no es estrictamente necesaria para tus operaciones diarias.
• Restringe el acceso a la interfaz de carga a redes locales de confianza y bloquea activamente todas las direcciones IP externas no confiables.
• Acepta cargas de modelos exclusivamente de fuentes verificadas y altamente confiables para evitar que archivos maliciosos ingresen a tu pipeline.