{"id":816,"date":"2026-05-10T14:01:44","date_gmt":"2026-05-10T14:01:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/10\/la-vulnerabilidad-de-lectura-fuera-de-limites-de-ollama-permite-la-perdida-de-memoria-de-procesos-remotos-cyberdefensa-mx\/"},"modified":"2026-05-10T14:01:44","modified_gmt":"2026-05-10T14:01:44","slug":"la-vulnerabilidad-de-lectura-fuera-de-limites-de-ollama-permite-la-perdida-de-memoria-de-procesos-remotos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/10\/la-vulnerabilidad-de-lectura-fuera-de-limites-de-ollama-permite-la-perdida-de-memoria-de-procesos-remotos-cyberdefensa-mx\/","title":{"rendered":"La vulnerabilidad de lectura fuera de l\u00edmites de Ollama permite la p\u00e9rdida de memoria de procesos remotos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Investigadores de ciberseguridad han revelado una vulnerabilidad de seguridad cr\u00edtica en Ollama que, si se explota con \u00e9xito, podr\u00eda permitir que un atacante remoto y no autenticado filtre toda su memoria de proceso.<\/p>\n<p>La falla de lectura fuera de l\u00edmites, que probablemente afecte a m\u00e1s de 300.000 servidores en todo el mundo, se rastrea como <strong>CVE-2026-7482<\/strong> (Puntuaci\u00f3n CVSS: 9,1). Ha sido <a href=\"https:\/\/www.cyera.com\/research\/bleeding-llama-critical-unauthenticated-memory-leak-in-ollama\">nombre en clave<\/a> <strong>Llama sangrante<\/strong> por Cyera.<\/p>\n<p><a href=\"https:\/\/github.com\/ollama\/ollama\">Ollama<\/a> es un marco popular de c\u00f3digo abierto que permite ejecutar modelos de lenguaje grandes (LLM) localmente en lugar de en la nube. En GitHub, el proyecto tiene m\u00e1s de 171.000 estrellas y se ha bifurcado m\u00e1s de 16.100 veces.<\/p>\n<p>\u00abOllama antes <a href=\"https:\/\/github.com\/ollama\/ollama\/releases\/tag\/v0.17.1\">0.17.1<\/a> contiene una vulnerabilidad de lectura fuera de l\u00edmites en el cargador de modelos GGUF\u00bb, seg\u00fan un <a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-7482\">descripci\u00f3n<\/a> de la falla en CVE.org. \u00abEl punto final \/api\/create acepta un archivo GGUF proporcionado por el atacante en el que el desplazamiento y el tama\u00f1o del tensor declarado exceden la longitud real del archivo; durante la cuantificaci\u00f3n en fs\/ggml\/gguf.go y server\/quantization.go (WriteTo()), el servidor lee m\u00e1s all\u00e1 del b\u00fafer de mont\u00f3n asignado\u00bb.<\/p>\n<p>GGUF, abreviatura de formato unificado generado por GPT, es un formato de archivo que se utiliza para almacenar modelos de lenguaje grandes para que puedan cargarse y ejecutarse localmente f\u00e1cilmente.<\/p>\n<p>El problema, en esencia, surge del uso que hace Ollama de la <a href=\"https:\/\/pkg.go.dev\/unsafe\">paquete inseguro<\/a> al crear un modelo a partir de un archivo GGUF, espec\u00edficamente en una funci\u00f3n denominada \u00abWriteTo()\u00bb, permitiendo as\u00ed ejecutar operaciones que eluden las garant\u00edas de seguridad de la memoria del lenguaje de programaci\u00f3n.<\/p>\n<p>En un escenario de ataque hipot\u00e9tico, un mal actor puede enviar un archivo GGUF especialmente dise\u00f1ado a un servidor Ollama expuesto con el <a href=\"https:\/\/www.tensorflow.org\/guide\/tensor\">forma del tensor<\/a> config\u00farelo en un n\u00famero muy grande para activar la lectura del mont\u00f3n fuera de l\u00edmites durante la creaci\u00f3n del modelo utilizando el punto final \/api\/create. La explotaci\u00f3n exitosa de la vulnerabilidad podr\u00eda filtrar datos confidenciales de la memoria del proceso Ollama.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Esto puede incluir variables de entorno, claves API, mensajes del sistema y datos de conversaciones de usuarios simult\u00e1neos. Estos datos se pueden extraer cargando el artefacto del modelo resultante a trav\u00e9s del punto final \/api\/push en un registro controlado por un atacante.<\/p>\n<p>El <a href=\"https:\/\/www.cyera.com\/blog\/bleeding-llama-a-critical-memory-leak-in-the-worlds-most-popular-local-ai-platform\">cadena de explotaci\u00f3n<\/a> se desarrolla en tres pasos:<\/p>\n<ul>\n<li>Cargue un archivo GGUF dise\u00f1ado con una forma de tensor inflado a un servidor Ollama accesible en red mediante una solicitud HTTP POST.<\/li>\n<li>Utilice el punto final \/api\/create para activar la creaci\u00f3n del modelo, lo que activa la vulnerabilidad de lectura fuera de l\u00edmites.<\/li>\n<li>Utilice el punto final \/api\/push para extraer datos de la memoria del mont\u00f3n a un servidor externo.<\/li>\n<\/ul>\n<p>\u00abUn atacante puede aprender b\u00e1sicamente cualquier cosa sobre la organizaci\u00f3n a partir de la inferencia de la IA: claves API, c\u00f3digo propietario, contratos con clientes y mucho m\u00e1s\u00bb, dijo el investigador de seguridad de Cyera, Dor Attias.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgwC3ssbxShiYtGxS0JsLsXPZNi7Atqo7Kp7Le1nJRDTA8F69oR9CRuvm0jFe7LpKoj8_w1nZCRjfcXhcZVbfBwl98PNt_xUeAJvZWUlKm-3fxB6AgcvNLZ9C1qEyzvg9bXwbW7lTrFjlnfWkOmUEARlwwPhO231DqSRA2r4QrKud_BpmEk6IhO5ZvoT1FJ\/s1700-e365\/api.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgwC3ssbxShiYtGxS0JsLsXPZNi7Atqo7Kp7Le1nJRDTA8F69oR9CRuvm0jFe7LpKoj8_w1nZCRjfcXhcZVbfBwl98PNt_xUeAJvZWUlKm-3fxB6AgcvNLZ9C1qEyzvg9bXwbW7lTrFjlnfWkOmUEARlwwPhO231DqSRA2r4QrKud_BpmEk6IhO5ZvoT1FJ\/s1700-e365\/api.png\" alt=\"\" border=\"0\" data-original-height=\"955\" data-original-width=\"2000\"\/><\/a><\/div>\n<p>\u00abAdem\u00e1s de eso, los ingenieros a menudo conectan Ollama a herramientas como Claude Code. En esos casos, el impacto es a\u00fan mayor: todas las salidas de la herramienta fluyen al servidor de Ollama, se guardan en el mont\u00f3n y potencialmente terminan en manos de un atacante\u00bb.<\/p>\n<p>Se recomienda a los usuarios que apliquen las \u00faltimas correcciones, limiten el acceso a la red, auditen las instancias en ejecuci\u00f3n para detectar exposici\u00f3n a Internet y las a\u00edslen y protejan detr\u00e1s de un firewall. Tambi\u00e9n se recomienda implementar un proxy de autenticaci\u00f3n o una puerta de enlace API frente a todas las instancias de Ollama, ya que la API REST no proporciona autenticaci\u00f3n lista para usar.<\/p>\n<h3>Dos fallas no parcheadas en Ollama conducen a una ejecuci\u00f3n de c\u00f3digo persistente<\/h3>\n<p>El desarrollo se produce cuando los investigadores de Striga <a href=\"https:\/\/www.striga.ai\/research\/ollama-windows-auto-update-rce\">detallado<\/a> dos vulnerabilidades en el mecanismo de actualizaci\u00f3n de Windows de Ollama que pueden encadenarse a la ejecuci\u00f3n de c\u00f3digo persistente. Las deficiencias siguen sin corregirse tras la divulgaci\u00f3n del 27 de enero de 2026 y se publicaron tras el transcurso de un per\u00edodo de divulgaci\u00f3n de 90 d\u00edas.<\/p>\n<p>Seg\u00fan Bart\u0142omiej \u00abBartek\u00bb Dmitruk, cofundador de Striga, el cliente de escritorio de Windows se inicia autom\u00e1ticamente al iniciar sesi\u00f3n desde la carpeta de inicio de Windows y escucha en 127.0.0[.]1:11434, y sondea peri\u00f3dicamente las actualizaciones en segundo plano a trav\u00e9s del punto final \/api\/update para ejecutar cualquier actualizaci\u00f3n pendiente en el pr\u00f3ximo inicio de la aplicaci\u00f3n.<\/p>\n<p>Las vulnerabilidades identificadas se relacionan con un recorrido de ruta y una verificaci\u00f3n de firma faltante que, cuando se combina con la rutina de inicio de sesi\u00f3n, puede permitir que un atacante con la capacidad de influir en las respuestas de actualizaci\u00f3n ejecute c\u00f3digo arbitrario en cada inicio de sesi\u00f3n. Los defectos se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li><strong>CVE-2026-42248<\/strong> (Puntuaci\u00f3n CVSS: 7,7): una vulnerabilidad de verificaci\u00f3n de firma faltante que no verifica el binario de actualizaci\u00f3n antes de la instalaci\u00f3n, a diferencia de su versi\u00f3n macOS.<\/li>\n<li><strong>CVE-2026-42249<\/strong> (Puntuaci\u00f3n CVSS: 7,7): una vulnerabilidad de recorrido de ruta que surge del hecho de que el actualizador de Windows crea la ruta local para el directorio provisional del instalador directamente desde los encabezados de respuesta HTTP sin desinfectarlo.<\/li>\n<\/ul>\n<p>Para explotar las fallas, el atacante debe tener el control de un servidor de actualizaci\u00f3n al que pueda acceder el cliente Ollama de la v\u00edctima. En tal situaci\u00f3n, podr\u00eda llevar a un escenario en el que se proporcione un ejecutable arbitrario como parte del proceso de actualizaci\u00f3n y se escriba en la carpeta de inicio de Windows sin generar ning\u00fan problema de verificaci\u00f3n de firma.<\/p>\n<p>Para poder controlar la respuesta de actualizaci\u00f3n, un enfoque implica anular OLLAMA_UPDATE_URL para dirigir al cliente a un servidor local en HTTP simple. La cadena de ataque tambi\u00e9n supone que AutoUpdateEnabled est\u00e1 activado, que es la configuraci\u00f3n predeterminada.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Es m\u00e1s, la falta de verificaci\u00f3n de integridad puede llevar a la ejecuci\u00f3n del c\u00f3digo por s\u00ed sola sin necesidad de explotar la vulnerabilidad de recorrido de ruta. En este caso, el instalador se coloca en el directorio provisional esperado. Durante el siguiente lanzamiento desde la carpeta Inicio, se invoca el proceso de actualizaci\u00f3n sin volver a verificar la firma, lo que provoca que se ejecute el c\u00f3digo del atacante.<\/p>\n<p>Dicho esto, la ejecuci\u00f3n remota del c\u00f3digo no es persistente, ya que la siguiente actualizaci\u00f3n leg\u00edtima sobrescribe el archivo preparado. Al agregar el recorrido de ruta a la mezcla, un mal actor puede redirigir el ejecutable para que se escriba fuera de la ruta habitual y lograr una ejecuci\u00f3n de c\u00f3digo persistente.<\/p>\n<p>Seg\u00fan CERT Polska, que <a href=\"https:\/\/cert.pl\/en\/posts\/2026\/04\/CVE-2026-42248\/\">se hizo cargo<\/a> Seg\u00fan el proceso de divulgaci\u00f3n coordinada, las versiones 0.12.10 a 0.17.5 de Ollama para Windows son vulnerables a las dos fallas. Mientras tanto, se recomienda a los usuarios desactivar las actualizaciones autom\u00e1ticas y eliminar cualquier acceso directo de Ollama existente en la carpeta Inicio (\u00ab%APPDATA%\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\u00bb) para deshabilitar la ruta de ejecuci\u00f3n silenciosa al iniciar sesi\u00f3n.<\/p>\n<p>\u00abCualquier instalaci\u00f3n de Ollama para Windows que ejecute las versiones 0.12.10 a 0.22.0 es vulnerable\u00bb, dijo Dmitruk. \u00abEl recorrido de la ruta escribe los ejecutables elegidos por el atacante en la carpeta de inicio de Windows. La verificaci\u00f3n de la firma faltante los mantiene all\u00ed: la limpieza posterior a la escritura que eliminar\u00eda los archivos sin firmar en un actualizador en funcionamiento no es operativa en Windows. En el siguiente inicio de sesi\u00f3n, Windows ejecuta lo que qued\u00f3\u00bb.<\/p>\n<p>\u00abLa cadena produce una ejecuci\u00f3n de c\u00f3digo persistente y silenciosa en el nivel de privilegio del usuario que ejecuta Ollama. Las cargas \u00fatiles realistas incluyen shells inversos, ladrones de informaci\u00f3n que filtran secretos del navegador y claves SSH, o droppers que giran hacia mecanismos de persistencia adicionales. Cualquier cosa que se ejecute como el usuario actual. Eliminar el binario eliminado de la carpeta de Inicio finaliza la persistencia, pero los defectos subyacentes permanecen\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Investigadores de ciberseguridad han revelado una vulnerabilidad de seguridad cr\u00edtica en Ollama que, si se explota con \u00e9xito, podr\u00eda permitir que un atacante remoto y no autenticado filtre toda su memoria de proceso. La falla de lectura fuera de l\u00edmites, que probablemente afecte a m\u00e1s de 300.000 servidores en todo el mundo, se rastrea como [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[24,1036,2391,2392,61,2393,2394,265,2395,1030,313],"class_list":["post-816","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-cyberdefensa-mx","tag-fuera","tag-lectura","tag-limites","tag-memoria","tag-ollama","tag-perdida","tag-permite","tag-procesos","tag-remotos","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/816","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=816"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/816\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=816"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=816"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=816"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}