CVE-2026-42249

Ollama for Windows, saldırgan tarafından kontrol edilen HTTP yanıt başlıklarının uygun şekilde işlenmemesi nedeniyle güncelleme mekanizmasında bir Uzaktan Kod Çalıştırma zafiyeti içermektedir. Güncellemeler indirilirken uygulama, HTTP başlıklarından türetilen değerleri doğrulama yapmadan yerel dosya yollarını oluşturmak için kullanmaktadır. Bu değerler doğrudan filepath.Join fonksiyonuna iletilmekte; bu durum yol aşımı (path traversal) dizilerinin (../) çözümlenmesine ve dosyaların hedeflenen güncelleme hazırlık dizininin dışına yazılmasına olanak tanımaktadır. Güncelleme yanıtlarını etkileyebilen bir saldırgan, bu açığı kullanarak mevcut kullanıcının erişebildiği Windows Başlangıç dizini dahil olmak üzere kendi seçtiği konumlara rastgele yürütülebilir dosyalar yazabilir. Bu durum, rastgele yürütülebilir dosyaların çalıştırılmasına izin verir. Kritik olarak, CVE-2026-42248 (Güncellemeler için İmza Doğrulaması Eksikliği) ile zincirlendiğinde, bir saldırgan hassas konumlara yazılan ve otomatik olarak çalıştırılan kötü amaçlı yükler gönderebilir. Ollama for Windows sessiz otomatik güncellemeler gerçekleştirdiği ve hazırlanan ikili dosyaları kullanıcı etkileşimi olmadan çalıştırdığı için, bu durum kullanıcının haberi olmadan otomatik ve kalıcı kod çalıştırılmasıyla sonuçlanır. Bu projenin yöneticileri zafiyet hakkında erkenden bilgilendirilmiş ancak zafiyet detayları veya etkilenen versiyon aralığı ile ilgili yanıt vermemiştir. 0.12.10 ile 0.17.5 arasındaki versiyonlar test edilmiş ve zafiyetli olduğu onaylanmıştır; diğer versiyonlar test edilmemiştir ancak onlar da zafiyetli olabilir.