PT-2026-35911 · Ollama · Ollama

Bartłomiej Dmitruk · Publicado 2026-04-29 · Atualizado 2026-05-11 · CVE-2026-42248

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Ollama for Windows versões 0.12.10 a 0.17.5

Descrição O Ollama para Windows não verifica a integridade ou autenticidade dos executáveis de atualização baixados. A rotina de verificação de atualização no Windows retorna sucesso incondicionalmente, ignorando a validação de assinatura digital e de confiança antes que as cargas úteis de atualização sejam preparadas ou executadas. Isso permite que executáveis fornecidos por atacantes sejam aceitos e executados. Como o aplicativo realiza atualizações automáticas silenciosas, cargas maliciosas podem ser instaladas sem o conhecimento do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-494

CWE-22

Identificadores relacionados

BDU:2026-08026

BDU:2026-08027

CVE-2026-42248

Produtos afetados

Ollama

Referências · 12

• https://twitter.com/CVEnew/status/2049594363928256666 · Publicação no Twitter
• https://twitter.com/striga_ai/status/2053763358927568902 · Publicação no Twitter
• https://twitter.com/Cel_Metal_/status/2053485803385307310 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-08027 · Nota de Segurança
• https://cert.pl/en/posts/2026/04/CVE-2026-42248 · Nota
• https://bdu.fstec.ru/vul/2026-08026 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-42248 · Nota de Segurança
• https://ollama.com · Nota
• https://twitter.com/AISGateway/status/2053953824847798539 · Publicação no Twitter
• https://twitter.com/striga_ai/status/2049462200079716626 · Publicação no Twitter
• https://twitter.com/hackerman_70000/status/2053827015870988736 · Publicação no Twitter
• https://twitter.com/DavidOndrej1/status/2053503907255537884 · Publicação no Twitter