【漏洞预警】Ollama Pull API 重定向校验不足可导致服务端请求伪造（CVE-2026-108836）

发布日期： 2026 年 10 月 13 日
风险等级： 高危（High）
漏洞编号： CVE-2026-108836
涉及镜像： ollama/ollama — 轩辕镜像 · Docker Hub
CVSS： 7.3（High）
披露时间： 2026 年 10 月公开
相关公告： CVE-2026-108836

---

一、漏洞概述

Ollama 用来在本机或容器里拉取并运行大模型。官方镜像是 ollama/ollama。

0.34.0 与 0.34.1 的 Pull API 在处理模型名和仓库请求时，对重定向目标校验不足。未认证的攻击者可以诱使服务端向非预期地址发起出站请求，用来探测内网，或让服务去拉取不是操作者指定的目标。已有公开的演示。

CVE 记录点名校验函数 IsValid。实际修复收紧的是 registry / blob 重定向：校验 scheme 和解析后的地址，每次重定向重新查询 DNS，并阻止 HTTPS 会话被重定向到明文 HTTP。

这和已经公开的 CVE-2026-103663（/api/pull 层 digest 路径穿越，可进一步变成 root 代码执行）不是同一条路径。两条可以同时存在于还没升到 0.35.0 的实例上。

---

二、漏洞状态

统计截止： 2026 年 10 月 13 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

0.34.2 收紧了这条重定向，但仍在 CVE-2026-103663 的受影响区间里（0.34.2 至 0.35.0 之前）。只为了本漏洞停在 0.34.2，路径穿越那条还在。

0.34.0 之前不在本漏洞给出的受影响版本里。

2. 典型受影响场景

• 容器把 Ollama API 端口发布到宿主机、内网或公网
• 进程允许向内网或任意外网地址发出站连接
• 不可信调用方可以访问 Pull API

API 只监听在本机回环、且出站被限制在预期的模型仓库时，可探测的范围会小一些。重定向校验在 0.34.2 之前仍然不足。

---

四、修复建议

1. 升级到 0.35.0 或更高（推荐）

请直接升到 0.35.0 或更高。

Docker Hub： ollama/ollama

轩辕镜像： ollama/ollama

bash
docker pull docker.xuanyuan.run/ollama/ollama:0.35.0

将 Compose 或运行参数中的镜像改为上述坐标后，重新创建容器。升级后确认进程版本不低于 0.35.0。

官方镜像坐标是 ollama/ollama。

修复说明见 PR #18512。

2. 升级前曾经对不可信网络开放 Pull API 时

按服务端可能已经向非预期地址发起过请求处理：检查出站访问记录，并轮换该实例能访问到的仓库凭据。

---

五、临时缓解措施

在完成升级之前：

1. 不要把 Pull API 暴露给不可信网络
   去掉对公网或办公网的端口发布。

2. 限制 Ollama 进程的出站
   只允许访问预期的模型仓库地址。这不能代替升级。

3. 不要停在 0.34.2
   这一版修了重定向，没有修 CVE-2026-103663。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代你对 Ollama 版本的升级。

• 站内页：ollama/ollama。拉取命令为 docker.xuanyuan.run/ollama/ollama:0.35.0。
• 加速拉取不会自动变成安全版本。请把标签固定为 0.35.0 或更高。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• CVE.org：CVE-2026-108836
• 修复说明：ollama/ollama#18512
• Docker Hub：ollama/ollama
• 轩辕站内镜像页：ollama/ollama

---

轩辕镜像安全团队
2026 年 10 月 13 日