【漏洞预警】Ollama /api/pull 层 digest 路径穿越可导致 root 远程代码执行（CVE-2026-103663）

发布日期： 2026 年 10 月 9 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-103663
涉及镜像： ollama/ollama — 轩辕镜像 · Docker Hub
CVSS： 9.4（Critical）
披露时间： CERT Polska 于 2026 年 10 月 8 日发布
相关公告： CERT Polska · CVE-2026-103663

---

一、漏洞概述

Ollama 用来在本机或容器里拉取并运行大模型。官方镜像是 ollama/ollama。

0.34.2 至 0.35.0 之前，/api/pull 对 layer digest 校验不足。未认证的攻击者可以在 digest 里带上路径穿越序列，把文件写到模型仓库目录之外。漏洞类型是相对路径穿越（CWE-23）。

多数官方 Docker 镜像里，Ollama 进程对 /usr/lib/ollama 可写。写到这个目录的文件会在下次服务重启后以 root 加载执行，从而形成远程代码执行。暴露面是能够访问 Ollama API 的网络，常见情况是容器把服务端口映射到了宿主机或内网。

CERT Polska 写明该问题已在 0.35.0 修复。

---

二、漏洞状态

统计截止： 2026 年 10 月 9 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

0.34.2 之前不在 CERT Polska 给出的受影响区间内。仍在使用 0.34.2 或更高、但低于 0.35.0 的实例需要升级。

2. 典型受影响场景

• 容器把 Ollama API 端口发布到宿主机、内网或公网
• 使用官方镜像，进程可以写入 /usr/lib/ollama
• 服务会重启，从而加载该目录中的新增文件

API 只监听在本机回环、且没有把端口映射出去时，远程利用面小。本机其他进程仍可能访问该 API。

---

四、修复建议

1. 升级到 0.35.0 或更高（推荐）

Docker Hub： ollama/ollama

轩辕镜像： ollama/ollama

bash
docker pull docker.xuanyuan.run/ollama/ollama:0.35.0

将 Compose 或运行参数中的镜像改为上述坐标后，重新创建容器。升级后确认进程版本不低于 0.35.0。

官方镜像坐标是 ollama/ollama。

2. 升级后检查模型目录之外的文件

1. 查看 /usr/lib/ollama 在升级前是否出现过不属于发行包的新增文件。
2. 如果 API 曾经对不可信网络开放，按失陷处理：更换镜像并轮换该环境能访问到的凭据。

---

五、临时缓解措施

在完成升级之前：

1. 不要把 Ollama API 暴露到不可信网络
   去掉对公网或办公网的端口发布，只允许可信的调用方访问。

2. 先升级再重启
   受影响版本在重启时会加载 /usr/lib/ollama 中的文件。在仍运行 0.34.2 至 0.35.0 之前的镜像时，避免为了“刷新服务”而反复重启。

3. 限制容器对 /usr/lib/ollama 的写入
   只读根文件系统可以缩小写入面，但不能代替升级到 0.35.0。路径穿越本身在修复前仍然存在。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代你对 Ollama 版本的升级。

• 站内页：ollama/ollama。拉取命令为 docker.xuanyuan.run/ollama/ollama:0.35.0。
• 加速拉取不会自动变成安全版本。请把标签固定为 0.35.0 或更高。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• CERT Polska：CVE-2026-103663
• Docker Hub：ollama/ollama
• 轩辕站内镜像页：ollama/ollama

---

轩辕镜像安全团队
2026 年 10 月 9 日