Se han detectado graves vulnerabilidades en Ollama, destacando Bleeding Llama, que permite a atacantes remotos filtrar memoria sensible como claves API y datos de usuarios. Asimismo, se hallaron fallos en la actualización de Windows que podrían permitir la ejecución persistente de código malicioso. Se recomienda actualizar a la versión más reciente, restringir el acceso a la red y desactivar las actualizaciones automáticas en Windows.

Investigadores de ciberseguridad han revelado una vulnerabilidad de seguridad crítica en Ollama que, si se explota con éxito, podría permitir que un atacante remoto no autenticado filtre toda la memoria de su proceso.

El fallo de lectura fuera de límites, que probablemente afecta a más de 300.000 servidores en todo el mundo, está rastreado como CVE-2026-7482 (puntuación CVSS: 9.1). Ha sido bautizado como Bleeding Llama por Cyera.

Ollama es un popular marco de trabajo de código abierto que permite ejecutar modelos de lenguaje extenso (LLM) localmente en lugar de en la nube. En GitHub, el proyecto cuenta con más de 171.000 estrellas y ha sido bifurcado más de 16.100 veces.

"Ollama antes de la versión 0.17.1 contiene una vulnerabilidad de lectura fuera de límites del heap en el cargador de modelos GGUF", según una descripción del fallo en CVE.org. "El endpoint /api/create acepta un archivo GGUF suministrado por el atacante en el que el desplazamiento y el tamaño del tensor declarados superan la longitud real del archivo; durante la cuantización en fs/ggml/gguf.go y server/quantization.go (WriteTo()), el servidor lee más allá del búfer del heap asignado".

GGUF, abreviatura de GPT-Generated Unified Format, es un formato de archivo que se utiliza para almacenar modelos de lenguaje extenso para que puedan ser cargados y ejecutados localmente con facilidad.

El problema, en esencia, surge del uso que hace Ollama del paquete unsafe al crear un modelo a partir de un archivo GGUF, específicamente en una función llamada "WriteTo()", haciendo así posible ejecutar operaciones que eludan las garantías de seguridad de memoria del lenguaje de programación.

En un escenario de ataque hipotético, un actor malintencionado puede enviar un archivo GGUF especialmente diseñado a un servidor de Ollama expuesto con la forma del tensor configurada con un número muy grande para provocar la lectura del heap fuera de límites durante la creación del modelo utilizando el endpoint /api/create. La explotación exitosa de la vulnerabilidad podría filtrar datos confidenciales de la memoria del proceso Ollama.

Esto puede incluir variables de entorno, claves API, prompts del sistema y datos de conversación de usuarios concurrentes. Estos datos pueden ser exfiltrados cargando el artefacto del modelo resultante a través del endpoint /api/push a un registro controlado por el atacante.

La cadena de explotación se desarrolla en tres pasos:

* Cargar un archivo GGUF manipulado con una forma de tensor inflada a un servidor de Ollama accesible por red mediante una solicitud HTTP POST.
* Utilizar el endpoint /api/create para activar la creación del modelo, disparando la vulnerabilidad de lectura fuera de límites.
* Utilizar el endpoint /api/push para exfiltrar datos de la memoria heap a un servidor externo.

"Un atacante puede enterarse básicamente de cualquier cosa sobre la organización a partir de su inferencia de IA: claves API, código propietario, contratos de clientes y mucho más", afirmó Dor Attias, investigador de seguridad de Cyera.



"Además, los ingenieros suelen conectar Ollama a herramientas como Claude Code. En esos casos, el impacto es aún mayor: todas las salidas de las herramientas fluyen hacia el servidor de Ollama, se guardan en el heap y potencialmente acaban en manos de un atacante".

Se aconseja a los usuarios aplicar las últimas correcciones, limitar el acceso a la red, auditar las instancias en ejecución para detectar la exposición a internet, y aislarlas y asegurarlas detrás de un firewall. También se recomienda implementar un proxy de autenticación o una puerta de enlace API frente a todas las instancias de Ollama, ya que la API REST no proporciona autenticación de forma nativa.

Dos fallos sin parchear en Ollama conducen a la ejecución persistente de código

Este avance se produce mientras investigadores de Striga detallaban dos vulnerabilidades en el mecanismo de actualización de Ollama para Windows que pueden encadenarse para lograr la ejecución persistente de código. Las deficiencias siguen sin parchear tras su divulgación el 27 de enero de 2026, y han sido publicadas tras el vencimiento de un periodo de divulgación de 90 días.

Según Bartłomiej "Bartek" Dmitruk, cofundador de Striga, el cliente de escritorio para Windows se inicia automáticamente al iniciar sesión desde la carpeta de Inicio de Windows, escucha en 127.0.0[.]1:11434 y consulta periódicamente actualizaciones en segundo plano a través del endpoint /api/update para ejecutar cualquier actualización pendiente en el siguiente inicio de la aplicación.

Las vulnerabilidades identificadas se relacionan con un salto de directorio (path traversal) y una falta de comprobación de firma que, combinados con la rutina de inicio de sesión, pueden permitir que un atacante con capacidad de influir en las respuestas de actualización ejecute código arbitrario en cada inicio de sesión. Los fallos se enumeran a continuación:

* CVE-2026-42248 (puntuación CVSS: 7.7) - Una vulnerabilidad de falta de verificación de firma que no verifica el binario de actualización antes de la instalación, a diferencia de su versión de macOS.
* CVE-2026-42249 (puntuación CVSS: 7.7) - Una vulnerabilidad de salto de directorio que surge del hecho de que el actualizador de Windows crea la ruta local para el directorio de preparación del instalador directamente desde las cabeceras de respuesta HTTP sin sanearla.

Para explotar los fallos, el atacante necesita tener el control de un servidor de actualizaciones accesible por el cliente de Ollama de la víctima. En tal situación, podría llevarse a un escenario donde se suministra un ejecutable arbitrario como parte del proceso de actualización y se escribe en la carpeta de Inicio de Windows sin plantear problemas de comprobación de firma.

Para poder controlar la respuesta de actualización, un enfoque implica anular la OLLAMA_UPDATE_URL para dirigir el cliente a un servidor local en HTTP simple. La cadena de ataque también asume que AutoUpdateEnabled está activado, que es la configuración por defecto.

Es más, la falta de comprobación de integridad puede conducir a la ejecución de código por sí sola sin necesidad de explotar la vulnerabilidad de salto de directorio. En este caso, el instalador se deposita en el directorio de preparación esperado. Durante el siguiente lanzamiento desde la carpeta de Inicio, se invoca el proceso de actualización sin volver a verificar la firma, provocando que se ejecute el código del atacante en su lugar.

Dicho esto, la ejecución remota de código no es persistente, ya que la siguiente actualización legítima sobrescribe el archivo preparado. Al añadir el salto de directorio a la mezcla, un actor malintencionado puede redirigir la escritura del ejecutable fuera de la ruta habitual y lograr la ejecución de código persistente.

Según CERT Polska, que asumió el proceso de divulgación coordinada, las versiones de Ollama para Windows desde la 0.12.10 hasta la 0.17.5 son vulnerables a los dos fallos. Mientras tanto, se recomienda a los usuarios desactivar las actualizaciones automáticas y eliminar cualquier acceso directo de Ollama existente en la carpeta de Inicio ("%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup") para desactivar la vía de ejecución silenciosa al iniciar sesión.

"Cualquier instalación de Ollama para Windows que ejecute la versión 0.12.10 hasta la 0.22.0 es vulnerable", dijo Dmitruk. "El salto de directorio escribe ejecutables elegidos por el atacante en la carpeta de Inicio de Windows. La falta de verificación de firma los mantiene allí: la limpieza posterior a la escritura que eliminaría archivos no firmados en un actualizador operativo no se realiza en Windows. En el siguiente inicio de sesión, Windows ejecuta lo que haya quedado".

"La cadena produce una ejecución de código silenciosa y persistente al nivel de privilegios del usuario que ejecuta Ollama. Los payloads realistas incluyen shells inversas, robadores de información que exfiltran secretos del navegador y claves SSH, o droppers que pivotan hacia mecanismos de persistencia adicionales. Cualquier cosa que se ejecute como el usuario actual. Eliminar el binario depositado de la carpeta de Inicio termina la persistencia, pero los fallos subyacentes permanecen".

Fuente:
THN