Una vulnerabilidad recién divulgada, CVE-2026-85180, permite que atacantes no autenticados exploten el model-puller de Ollama para lanzar ataques de falsificación de solicitud del lado del servidor (SSRF) contra servicios internos, incluidos los endpoints de metadatos de la nube. El fallo persiste en la versión actual, la 0.33.2, y puede activarse sin una cuenta válida de Ollama.

Por qué es importante esta vulnerabilidad

Muchos equipos ejecutan un servidor Ollama interno para proporcionar modelos LLM a desarrolladores y pipelines de CI. La API que entrega los modelos suele dejarse abierta para que cualquier usuario de la red interna pueda solicitar un modelo por su nombre. Esa conveniencia crea una ruta directa desde la API orientada al público hacia la red privada. La CVE-2026-85180 convierte esa ruta en un arma.

Un atacante que aloje un registro de modelos malicioso puede diseñar un manifiesto que redirija la solicitud de descarga a cualquier dirección que el proceso de Ollama pueda alcanzar. Cuando la API de pull recibe el manifiesto, sigue la redirección automáticamente. Debido a que el endpoint de pull no requiere autenticación, el atacante no necesita una cuenta de Ollama. La redirección puede apuntar a loopback, link-local o cualquier subred privada, otorgando al atacante un punto de apoyo dentro de la VPC de la nube de la víctima o en su red on-premise.

El objetivo más peligroso es el servicio de metadatos de la nube (típicamente 169.254.169.254). Ese endpoint entrega credenciales temporales a la instancia.

Cómo el error se filtró a pesar de las correcciones anteriores

A principios de este año, Ollama parcheó un problema de redirección identificado como CVE-2026-5530. La corrección añadió una comprobación que bloqueaba las redirecciones a direcciones privadas, pero solo se aplicó al componente descargador principal. El tensor model downloader, que gestiona una clase diferente de archivos de modelo, utiliza una biblioteca de cliente HTTP independiente. Esa biblioteca procesa las redirecciones manualmente y carece de cualquier validación del nuevo destino. En consecuencia, la protección anterior nunca se ejecuta para esas descargas, dejando abierto el vector de SSRF.

Quiénes corren riesgo

Las empresas que exponen un endpoint de Ollama a un amplio conjunto de desarrolladores enfrentan el mayor riesgo. Las cargas de trabajo nativas de la nube que dependen de credenciales basadas en metadatos son especialmente vulnerables.

Qué se puede hacer ahora mismo

No se ha publicado un parche y la vulnerabilidad persiste en la versión 0.33.2. Hasta que se lance una corrección oficial, los operadores deben reforzar la capa de red que rodea al proceso de Ollama.

  • Detener las referencias arbitrarias a modelos. Restrinja la API para que solo usuarios o servicios de confianza puedan enviar nombres de modelos. Rechace las URLs de registros desconocidas o proporcionadas por el usuario.
  • Bloquear el tráfico saliente. A nivel de contenedor, host o firewall, bloquee las conexiones a loopback, link-local y rangos de IP privados desde el proceso de Ollama. Deniegue explícitamente el acceso a la dirección de metadatos de la nube (169.254.169.254) a menos que la carga de trabajo realmente lo necesite.
  • Utilizar un registro curado. Aloje un registro de modelos interno que solo sirva manifiestos verificados. Aplique una lista de permitidos (allow-list) de nombres de host y rechace cualquier redirección que apunte a otro lugar.
  • Monitorear descargas (pulls) sospechosas. Escanee los logs de Ollama en busca de solicitudes de pull que generen tráfico de red inmediato hacia direcciones internas. Correlacione esto con la telemetría de red para detectar conexiones salientes inesperadas.

Qué esperar a continuación

Esté atento a las notas de lanzamiento y a los avisos de seguridad del proyecto para el próximo parche. Mientras tanto, trate al model-puller como un servicio con capacidad de red y aplique las cuatro mitigaciones de inmediato.

Conclusión: Un fallo de SSRF no autenticado en el descargador de modelos de Ollama puede exponer credenciales de la nube y APIs internas; hasta que llegue un parche, bloquee el acceso saliente a redes privadas, restrinja las referencias a modelos y monitoree la actividad de pull.