Ollama 更新の署名検証がありません (CVE-2026-42248)

high Nessus プラグイン ID 313203

Language:

概要

リモートの Windows ホストにインストールされている Ollama インスタンスは、署名検証の欠如に起因する脆弱性の影響を受けます。

説明

リモートの Windows ホストにインストールされている Ollama のバージョンは、署名検証の欠如に起因する脆弱性の影響を受けます:

- Ollama for Windows は、ダウンロードされた更新プログラムの実行可能ファイルの整合性または真正性の検証を行いません。
他のプラットフォームとは異なり、更新検証ルーチンの Windows 実装は無条件に成功を返すため、更新ペイロードのステージングまたは実行の前にデジタル署名や信頼性の検証は行われず、攻撃者が提供した実行可能ファイルが受け入れられ、その後アプリケーションによって実行される可能性があります。重要なことに、Ollama for Windows はサイレント自動更新を実行するため、悪意のあるペイロードがユーザーの気付かないうちに自動的にインストールされる可能性があります。(CVE-2026-42248)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。