NemoClaw CVE-2026-65105: Satu Kunjungan Browser Menulis Ulang Templat Chat Model

Pada 25 Agustus 2026 NVIDIA menerbitkan buletin keamanan 5872 dan menilai celah pada NVIDIA NemoClaw, alat Linux yang menjalankan agen OpenClaw di dalam sandbox OpenShell, sebagai Tinggi dengan skor dasar CVSS 8,1. CVE-2026-65105 adalah bug ketiadaan autentikasi: NemoClaw menjalankan server inferensi Ollama pada setiap antarmuka jaringan, dan API Ollama tidak memiliki autentikasi sendiri. Peneliti Oasis Security, yang namanya dicantumkan dalam ucapan terima kasih NVIDIA dan kini sedang diakuisisi oleh Cyera, membuat demonstrasi di mana satu kunjungan ke halaman web yang dikendalikan penyerang sudah cukup untuk menjangkau server tersebut dari dalam browser dan menulis ulang templat obrolan model — perubahan yang bertahan melewati percakapan-percakapan berikutnya dan tetap bertahan saat agen memberikan prompt sistemnya sendiri. Belum ada eksploitasi di alam liar yang tercatat. Entri lengkapnya, beserta tingkat keparahan dan tingkat keyakinannya, terdapat di Orca AI Incident Archive bersama insiden-insiden tetangga dari bulan yang sama.

Apa yang diterbitkan NVIDIA

Buletin ini berjudul "Security Bulletin: NVIDIA NemoClaw dan OpenShell - Agustus 2026", bernomor 5872, dan riwayat revisinya mencatat satu entri: versi 1.0.0, bertanggal 2026-08-25. Ini merupakan rangkuman, bukan advisory untuk satu CVE — tabel produk terdampak di dalamnya mencantumkan delapan belas CVE di dua produk, dari CVE-2026-65081 hingga CVE-2026-65105. Item terbesar dalam kumpulan ini adalah CVE-2026-65093, sebuah sandbox escape di NVIDIA OpenShell untuk Linux dengan peringkat 9.9 Kritis.

Untuk CVE-2026-65105, buletin menyatakan bahwa kelemahan tersebut "dalam penyiapan server inferensinya, di mana penyerang jarak jauh dapat mengakses layanan inferensi tanpa autentikasi", dan bahwa eksploitasi yang berhasil "dapat menyebabkan pengungkapan informasi dan denial of service". Vektor yang dipublikasikan adalah CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — jaringan berdekatan, kompleksitas rendah, tanpa hak istimewa, tanpa interaksi pengguna, dampak kerahasiaan tinggi, dampak ketersediaan tinggi — dan kelas kelemahannya adalah CWE-306, "Missing Authentication for Critical Function".

Tabel produk terdampak NVIDIA mencantumkan versi terdampak sebagai "0 hingga 0.0.25" untuk NemoClaw di Linux, dan versi yang diperbarui sebagai "f06796ff3; 0.0.25" — hash commit yang dipasangkan dengan nomor versi sama yang muncul di kolom terdampak. eSecurity Planet, dalam laporannya tentang cacat tersebut pada 27 Agustus 2026, menyoroti tepat tumpang tindih itu dan menyarankan administrator untuk "memverifikasi bahwa kode yang digunakan memuat commit perbaikan alih-alih hanya mengandalkan nomor versi".

Bagian ucapan terima kasih mencantumkan "CVE-2026-65105: Markus Halvorsen, Elad Luz dari Oasis Security". Catatan NVD untuk CVE tersebut diterbitkan pada 25 Agustus 2026 pukul 21:17 UTC dan terakhir dimodifikasi pada 1 September 2026; catatan itu memuat skor 8.1 dari NVIDIA sebagai satu-satunya penilaian CVSS v3.1, dan CVE tersebut tidak muncul dalam katalog Known Exploited Vulnerabilities milik CISA.

Satu detail dalam entri NVIDIA sendiri layak disebut secara gamblang, bukan ditutupi. Vektor tersebut tidak memiliki komponen integritas sama sekali — I:N, dampak integritas tidak ada — dan deskripsi satu barisnya hanya menyebut pengungkapan informasi dan penolakan layanan. Klaim utama para peneliti, yang dibahas di bawah, adalah bahwa templat chat model tersebut diubah dan tetap diubah. Pembacaan vektor seperti itu adalah tafsiran kami, bukan NVIDIA: perusahaan tersebut belum menerbitkan pernyataan apa pun tentang apakah jalur penulisan ulang templat dipertimbangkan ketika skor diberikan.

Pengaturan yang membuat server lokal dapat dijangkau

NemoClaw men-deploy agen OpenClaw di dalam sandbox OpenShell, dan mendukung Ollama sebagai backend inferensi lokal. Masalah konfigurasi ini adalah efek samping dari pengaturan tersebut. Seperti yang dijelaskan dalam tulisan riset Cyera oleh Elad Luz dan Ofek Itach, OpenShell berjalan di Docker, sehingga server Ollama pada alamat loopback default tidak dapat dijangkau dari dalam container. Oleh karena itu, NemoClaw memulai Ollama dengan OLLAMA_HOST=0.0.0.0:11434, yang mengikat port 11434 pada semua antarmuka, bukan hanya pada loopback host. Tulisan yang sama mencatat bahwa penginstal menampilkan "Using Ollama on localhost:11434" meskipun binding sebenarnya jauh lebih luas.

API Ollama tidak memiliki autentikasi. Pertahanan yang menghadap browser ada dua: middleware CORS yang menganggap permintaan yang Origin-nya sama dengan Host-nya sebagai same-origin dan membiarkan permintaan tanpa header Origin lolos, serta langkah validasi header Host yang biasanya hanya menerima nama host lokal. Pertahanan kedua itulah yang hilang dalam konfigurasi NemoClaw. Pernyataan Cyera tegas bahwa “ketika Ollama diikat ke alamat non-loopback (seperti 0.0.0.0), validasi header Host sepenuhnya dilewati” — kode memeriksa apakah alamat bind adalah loopback dan melewati pemeriksaan tersebut jika bukan.

Kombinasi itulah yang membuat DNS rebinding berhasil. Seorang pengunjung memuat halaman dari domain yang dikendalikan penyerang, dengan JavaScript halaman tersebut menargetkan port 11434. DNS penyerang kemudian me-resolve ulang domain yang sama ke 127.0.0.1 atau ke alamat di jaringan lokal korban. Karena kebijakan same-origin browser dikaitkan dengan hostname, dan hostname tidak berubah, browser tetap memperlakukan permintaan sebagai same-origin. Ollama menerimanya, melewati validasi Host karena bind-nya non-loopback, dan melihat Origin sama dengan Host — keduanya adalah domain penyerang — sehingga lapisan CORS mengizinkannya. Ringkasan Cyera tentang hasilnya adalah "akses API penuh tanpa autentikasi". Penyerang hanya perlu mengendalikan domain mereka sendiri; tidak diperlukan pijakan di jaringan atau infrastruktur DNS korban.

Sandbox tidak mencakup hal ini karena cacatnya berada di bawahnya. eSecurity Planet menggambarkan bug tersebut sebagai berada "di lapisan inferensi di bawah kontrol sandbox tersebut", sehingga melakukan sandbox pada agen membuat server model yang berkomunikasi dengannya tetap tidak terlindungi. Cyera menyampaikan poin yang sama secara lebih luas: "Melakukan sandbox pada agen itu perlu, tetapi tidak cukup." Catatan riset Cloud Security Alliance tentang kasus ini, tertanggal 27 Agustus 2026, menambahkan bahwa pengikatan non-loopback menghidupkan kembali eksposur di balik masalah rebinding Ollama sebelumnya yang dilacak sebagai CVE-2024-28224.

Perlu dinyatakan secara jelas, karena ini adalah jalur paparan yang terpisah dari serangan browser: mengikat ke 0.0.0.0 juga menempatkan API tanpa autentikasi di jaringan lokal secara langsung, sehingga host mana pun yang dapat merutekan ke port 11434 dapat mencapainya tanpa DNS rebinding sama sekali.

Dari templat yang mudah dibaca menjadi templat yang ditulis ulang

Setelah JavaScript dapat menjangkau API, pengintaian menjadi hal biasa. Cyera mencantumkan apa yang dapat dijangkau dalam demonstrasi tersebut: nama, ukuran, keluarga, dan kuantisasi model yang terpasang dari GET /api/tags; versi Ollama yang tepat dari GET /api/version; detail model, prompt sistem, templat, dan lisensi dari POST /api/show; serta nama host dan kunci publik — atau nama pengguna yang masuk — dari POST /api/me. Endpoint destruktif juga dapat dijangkau: POST /api/pull untuk mengunduh model sembarang dan memenuhi disk, POST /api/push untuk mendorong model ke ollama.com di bawah akun korban, DELETE /api/delete untuk menghapus model korban, dan POST /api/signout. Endpoint inferensi, termasuk rute /v1/chat/completions yang kompatibel dengan OpenAI, akan menjalankan prompt di GPU korban.

Persistensi berasal dari salah satu endpoint tersebut. Tulisan Cyera menjelaskan bahwa menyuntikkan field sistem tersembunyi melalui POST /api/create tidak efektif terhadap OpenClaw, karena agen mengirim system prompt-nya sendiri di dalam array messages dan itu menimpa field sistem bawaan model. Rute yang lebih kuat adalah field template yang juga diterima oleh /api/create. Template chat Ollama adalah template Go yang mengontrol bagaimana pesan dirender menjadi teks mentah sebelum inferensi, dan "template diterapkan pada waktu inferensi ke semua pesan, termasuk system prompt apa pun yang dikirim klien". Dalam demonstrasi tersebut, penyerang mengambil template asli melalui /api/show, menyisipkan injeksi ke dalamnya sambil mempertahankan rendering tool, token khusus, dan format peran tetap utuh, lalu mengunggahnya kembali.

Yang mengikuti dari penempatan itu adalah bagian yang penting. Menurut Cyera, modifikasi tersebut tetap ada di seluruh percakapan mendatang dengan model, bertahan terhadap system prompt yang disediakan klien, tidak terlihat oleh pengguna karena nama, ukuran, metadata, dan kemampuan model tampak tidak berubah, serta memengaruhi setiap konsumen model — CLI, klien API, dan agen. Perumusan dalam tulisan itu sendiri adalah bahwa "klien tidak dapat mendeteksi atau mencegah ini" karena templat tersebut adalah "properti tingkat model yang tidak terlihat oleh konsumen API". CSO Online, yang melaporkan kasus ini pada 26 Agustus 2026, mengutip Luz yang menggambarkan templat itu berada "satu lapisan di bawah apa pun yang dapat dilihat oleh guardrail atau operator", dan mencatat bahwa perubahan tersebut bertahan di setiap sesi mendatang.

Konsekuensi yang dicantumkan Cyera bagi agen yang berjalan pada templat yang teracuni bersifat potensial, bukan teramati: menyisipkan kerentanan ke dalam kode yang dihasilkan, menekan peringatan keamanan, mengarahkan rekomendasi ke paket, URL, atau konfigurasi yang dikendalikan penyerang, dan mengeksfiltrasi data percakapan atau berkas jika akses keluar tersedia. Tulisan itu juga cermat mengenai apa yang masih dibatasi oleh sandbox — tindakan sistem berkas, jaringan, dan proses tingkat host — sambil mencatat bahwa akses sah agen ke kontrol sumber, CI/CD, API internal, layanan cloud, dan server MCP adalah tempat paparan sesungguhnya berada.

Apa yang ditunjukkan oleh demonstrasi itu, dan apa yang tidak.

Bukti konsep dijalankan dalam empat langkah, seperti yang dijelaskan Cyera. Para peneliti terhubung ke sandbox NemoClaw dan mengirim prompt; agen merespons secara normal. Mereka kemudian membuka halaman web yang melakukan DNS rebinding terhadap server Ollama lokal. Halaman tersebut membaca versi Ollama, model yang terpasang, hostname, dan kunci publik, lalu meracuni templat model dengan instruksi tersembunyi. Mengirim ulang prompt yang sama menghasilkan respons yang berisi penanda yang disuntikkan, tanpa perubahan apa pun pada agen yang di-sandbox.

Itulah bentuk terkuat dari klaim yang dibuat para peneliti, dan di sinilah batas catatan ini mulai terlihat. Ini adalah demonstrasi dalam konfigurasi tertentu — Ollama dijalankan dengan OLLAMA_HOST=0.0.0.0:11434 — dan bukan survei terhadap sistem yang telah diterapkan. Tidak ada korban yang disebutkan di mana pun dalam liputan yang ditinjau untuk artikel ini: tidak dalam buletin NVIDIA, tidak dalam catatan NVD, tidak dalam tulisan Cyera, tidak dalam laporan CSO Online atau eSecurity Planet. Tidak ada satu pun dari mereka yang menerbitkan jumlah instalasi NemoClaw yang terekspos, dan tidak ada yang melaporkan eksploitasi di alam liar. Ketiadaan entri dalam daftar CISA KEV adalah fakta tentang katalog tersebut, bukan bukti bahwa tidak ada yang mencoba.

Komentar independen datang dari Randolph Barr dari Cequence Security, yang dikutip oleh CSO Online: "DNS rebinding telah menjadi trik hiburan di browser selama lebih dari satu dekade", katanya, sementara "mengarahkannya ke server model lokal tanpa autentikasi adalah bagian yang baru". Itu adalah deskripsi yang adil tentang kebaruan di sini — teknik browser itu sudah lama dan kelas targetnya baru — dan itu juga menjadi pengingat bahwa pengungkapan tersebut bertumpu pada demonstrasi satu tim peneliti. Tidak ada replikasi independen atas hasil template-poisoning yang ditemukan dalam liputan yang ditinjau untuk artikel ini.

Perbaikan, dan celah Windows

Commit yang disebut NVIDIA sebagai perbaikan, f06796ff3, berjudul "fix(security): bind Ollama to localhost with authenticated proxy". Jika dibaca terhadap repositori publik, commit itu melakukan tiga hal. Commit ini mengubah jalur inferensi lokal sehingga Ollama dijalankan pada 127.0.0.1:11434 alih-alih 0.0.0.0:11434. Commit ini menambahkan reverse proxy terautentikasi kecil, scripts/ollama-auth-proxy.js, yang mendengarkan pada 0.0.0.0:11435 dan memvalidasi token bearer yang dibuat per instance saat onboarding dan disimpan dalam kredensial penyedia OpenShell, sehingga gateway yang dikontainerisasi tetap dapat menjangkau inferensi sementara apa pun yang tidak memiliki token akan mendapat 401; GET /api/tags sengaja dikecualikan untuk pemeriksaan kesehatan kontainer. Dan commit ini memperbarui skrip penyiapan serta pengujian inferensi lokal ke port proxy. Pesan commit mencatat tiket internal sebagai "PSIRT bug 6002780, CVSS 7.5 High", berbeda dengan 8.1 yang kemudian diterbitkan NVIDIA untuk CVE tersebut.

Status remediasi setelah commit tersebut adalah titik ketika sumber-sumber mulai berbeda, dan perbedaan itu sebaiknya dilaporkan, bukan diselesaikan. CSO Online melaporkan bahwa "cacat tersebut kini telah ditambal oleh Nvidia untuk sistem non-Windows". Catatan Cloud Security Alliance tanggal 27 Agustus 2026 lebih spesifik: dikatakan bahwa macOS dan Linux diperbaiki dalam v0.0.35, bahwa build yang lebih baru, v0.0.106, menolak untuk dimulai kecuali Ollama diikat ke loopback, dan bahwa "remediasi NVIDIA mencakup macOS dan Linux tetapi, pada saat publikasi, tidak mencakup Windows atau WSL". Dalam laporan tersebut, pemeriksaan startup "tidak mencapai jalur kode yang digunakan pada Windows dan WSL", v0.0.34 "hanya menambahkan peringatan alih-alih memberlakukan pengikatan loopback", dan "deployment Windows dan WSL tetap terekspos pada saat pengungkapan". Buletin NVIDIA sendiri hanya mendukung sebagian dari hal ini: tabel produk terdampaknya membatasi CVE-2026-65105 ke Linux, memberikan satu commit dan versi yang diperbarui, serta tidak mencantumkan entri Windows baik sebagai terdampak maupun sebagai telah diperbaiki. NVIDIA tidak menanggapi ketidaksesuaian tersebut dalam dokumen mana pun yang ditinjau di sini.

Pernyataan publik NVIDIA muncul setelah publikasi, di CSO Online: "Kami menghargai temuan dan laporan para peneliti", kata perusahaan itu, seraya menambahkan bahwa "Nvidia telah merilis pembaruan yang dapat diunduh dan dipasang oleh pelanggan".

Langkah-langkah di sisi operator yang dicantumkan oleh eSecurity Planet adalah sisa praktis dari catatan tersebut:

• Perbarui NemoClaw dan pastikan kode yang diterapkan berisi commit f06796ff3, alih-alih mempercayai string versi, karena 0.0.25 muncul di kolom yang terdampak maupun kolom yang diperbarui.

• Batasi Ollama ke 127.0.0.1 kecuali akses yang lebih luas memang diperlukan secara eksplisit, yang menghapus bind non-loopback yang menyebabkan validasi Host dilewati.

• Letakkan proxy terautentikasi dan kontrol firewall di depan layanan inferensi, bukan mengandalkan batas jaringan milik aplikasi itu sendiri.

• Pantau antarmuka yang mendengarkan, templat model, pengaturan model, dan aktivitas API untuk perubahan tak terduga, karena templat yang diracuni membiarkan nama, ukuran, dan metadata model tetap tidak tersentuh.

• Simpan salinan templat dan pengaturan model yang telah terverifikasi untuk deteksi dan pemulihan manipulasi, serta uji rencana respons insiden untuk peracunan model dan inferensi yang terekspos — isolasi, pemeriksaan integritas, rotasi kredensial, dan pemulihan.

• Terapkan prinsip hak istimewa paling sedikit (least privilege) pada semua yang dapat dijangkau agen: repositori, sistem CI/CD, API, sumber daya cloud, dan kredensial, karena sandbox membatasi tindakan pada host tetapi tidak membatasi hak akses yang diberikan kepada agen.

Apa yang sudah mapan, apa yang diatribusikan, dan apa yang tidak diketahui

Terkonfirmasi. NVIDIA menerbitkan buletin 5872 pada 25 Agustus 2026 dengan CVE-2026-65105 yang diberi peringkat 8,1 Tinggi, CWE-306, memengaruhi NemoClaw untuk Linux versi 0 hingga 0.0.25 dan diperbaiki pada commit f06796ff3. Catatan NVD mengonfirmasi skor, vektor, dan kelas kelemahan secara independen dari halaman buletin itu sendiri. Pengakuan NVIDIA menyebutkan Markus Halvorsen dan Elad Luz dari Oasis Security. Commit publik yang disebut sebagai perbaikan mengubah bind ke loopback dan memperkenalkan proxy terautentikasi token pada port 11435. CVE tersebut tidak ada dalam katalog Known Exploited Vulnerabilities milik CISA.

Diatribusikan. Satu kunjungan halaman web itu saja sudah cukup untuk menulis ulang templat chat suatu model dan bahwa perubahan tersebut tetap bertahan pada sesi-sesi berikutnya serta prompt sistem yang dipasok klien adalah temuan Oasis Security, yang dilaporkan melalui tulisan riset Cyera dan dimuat oleh CSO Online serta eSecurity Planet. Bahwa macOS dan Linux diperbaiki dalam v0.0.35 dan v0.0.106 sementara Windows dan WSL hanya diberi peringatan dalam v0.0.34 adalah keterangan Cloud Security Alliance; versi lebih singkat CSO Online atas klaim yang sama menyatakan bahwa patch tersebut mencakup sistem non-Windows. Daftar konsekuensi agen hilir — kode rentan, peringatan yang ditekan, paket yang dikendalikan penyerang, eksfiltrasi data — adalah deskripsi Cyera tentang efek potensial, bukan hasil yang teramati.

Tidak terkonfirmasi. Berapa banyak deployment NemoClaw yang berjalan dengan bind 0.0.0.0, dan berapa banyak yang dapat dijangkau dari jaringan yang berdekatan, belum dipublikasikan oleh siapa pun. Apakah jalur poisoning telah diperhitungkan dalam skor 8.1 NVIDIA tidak diketahui — vektor yang dipublikasikan tidak memuat dampak integritas, dan NVIDIA belum mengatakan apa pun tentang hal itu, baik mendukung maupun menolak. Tidak ada korban, tidak ada laporan insiden, dan tidak ada eksploitasi di dunia nyata yang tercatat oleh sumber mana pun yang ditinjau di sini, dan tidak ada kelompok riset kedua yang mempublikasikan replikasi.

Catatan itu sendiri adalah temuan penelitian, bukan peristiwa penerapan: entri arsip membawa tingkat keparahan tinggi dengan nilai keyakinan A, mencatat tidak ada kerugian di dunia nyata, dan menandainya sebagai tidak terbantahkan. Itu sesuai dengan apa yang ditunjukkan sumber — kerentanan yang terdokumentasi dengan baik dengan eksploit yang telah didemonstrasikan dan tanpa korban yang dilaporkan — dan itulah alasan tulisan ini memisahkan demonstrasi dari konsekuensinya alih-alih memperlakukan keduanya sebagai satu klaim.