NemoClaw CVE-2026-65105: Eén bezoek via de browser herschreef het chatsjabloon van het model

Op 25 augustus 2026 publiceerde NVIDIA beveiligingsbulletin 5872 en beoordeelde een kwetsbaarheid in NVIDIA NemoClaw, het Linux-hulpprogramma dat OpenClaw-agenten in OpenShell-sandboxes uitvoert, als Hoog met een CVSS-basisscore van 8.1. CVE-2026-65105 is een bug met ontbrekende authenticatie: NemoClaw start de Ollama-inferentieserver op elke netwerkinterface, en de API van Ollama heeft geen eigen authenticatie. Oasis Security-onderzoekers, die met naam worden genoemd in de dankbetuigingen van NVIDIA en wier werkgever nu door Cyera wordt overgenomen, bouwden een demonstratie waarin één bezoek aan een door een aanvaller gecontroleerde webpagina genoeg was om die server van binnenuit de browser te bereiken en het chatsjabloon van het model te herschrijven — een bewerking die latere gesprekken overleefde en die ook het aanleveren van zijn eigen systeemprompt door de agent overleefde. Er is geen misbruik in het wild geregistreerd. De volledige vermelding, met de ernst- en betrouwbaarheidsgraden, staat in het Orca AI Incident Archive naast de naburige incidenten uit dezelfde maand.

Wat NVIDIA heeft gepubliceerd

Het bulletin heeft de titel "Beveiligingsbulletin: NVIDIA NemoClaw en OpenShell - augustus 2026", heeft nummer 5872 en in de revisiegeschiedenis staat één vermelding: versie 1.0.0, gedateerd 2026-08-25. Het is een overzichtsbulletin, geen advies over één enkele CVE — de tabel met betrokken producten erin vermeldt achttien CVE's over twee producten, van CVE-2026-65081 tot en met CVE-2026-65105. De grootste post in de reeks is CVE-2026-65093, een sandboxescape in NVIDIA OpenShell voor Linux met een beoordeling van 9,9 Kritiek.

Voor CVE-2026-65105 stelt het bulletin dat de kwetsbaarheid "in zijn inference-serveropstelling zit, waar een aanvaller op afstand zonder authenticatie toegang kan krijgen tot de inference-service", en dat een succesvolle exploit "kan leiden tot informatielekkage en denial of service". De gepubliceerde vector is CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — aangrenzend netwerk, lage complexiteit, geen privileges, geen gebruikersinteractie, hoge impact op vertrouwelijkheid, hoge impact op beschikbaarheid — en de zwakteklasse is CWE-306, "Missing Authentication for Critical Function".

De tabel met getroffen producten van NVIDIA geeft de getroffen versies als "0 tot 0.0.25" voor NemoClaw op Linux, en de bijgewerkte versie als "f06796ff3; 0.0.25" — een commit-hash gekoppeld aan hetzelfde versienummer dat in de kolom met getroffen versies staat. eSecurity Planet, dat het lek op 27 augustus 2026 meldde, wijst precies op die overlap en adviseert beheerders om "te verifiëren dat de geïmplementeerde code de fix-commit bevat in plaats van alleen op het versienummer te vertrouwen".

De erkenningssectie vermeldt "CVE-2026-65105: Markus Halvorsen, Elad Luz van Oasis Security". Het NVD-record voor de CVE werd gepubliceerd op 25 augustus 2026 om 21:17 UTC en laatst gewijzigd op 1 september 2026; het bevat NVIDIA's 8,1-score als de enige CVSS v3.1-beoordeling, en de CVE komt niet voor in de Known Exploited Vulnerabilities-catalogus van CISA.

Eén detail in NVIDIA's eigen entry verdient het om genoemd te worden, niet om gladgestreken te worden. De vector heeft helemaal geen integriteitscomponent — I:N, integrity impact none — en de beschrijving in één regel vermeldt alleen information disclosure en denial of service. De centrale bewering van de onderzoekers, hieronder besproken, is dat de chat-template van het model werd gewijzigd en gewijzigd bleef. Die interpretatie van de vector is de onze, niet die van NVIDIA: het bedrijf heeft geen verklaring gepubliceerd over de vraag of het pad van het herschrijven van de template werd overwogen toen de score werd toegekend.

De configuratie die een lokale server bereikbaar maakte

NemoClaw implementeert OpenClaw-agenten in een OpenShell-sandbox en ondersteunt Ollama als lokale inferentiebackend. Het configuratieprobleem is een neveneffect van die opzet. Zoals uitgelegd in het onderzoeksverslag van Cyera door Elad Luz en Ofek Itach, draait OpenShell in Docker, waardoor een Ollama-server op het standaard loopbackadres onbereikbaar is vanuit de container. Daarom start NemoClaw Ollama met OLLAMA_HOST=0.0.0.0:11434, waardoor poort 11434 aan alle interfaces wordt gebonden en niet alleen aan de loopback van de host. In hetzelfde verslag staat dat het installatieprogramma "Using Ollama on localhost:11434" weergeeft, terwijl de werkelijke binding aanzienlijk ruimer is.

De API van Ollama heeft geen authenticatie. De verdedigingsmaatregelen aan de browserzijde bestaan uit twee onderdelen: een CORS-middleware die een verzoek waarvan de Origin gelijk is aan de Host als same-origin behandelt en verzoeken zonder Origin-header doorlaat, en een validatiestap voor de Host-header die normaal gesproken alleen lokale hostnamen accepteert. Het is de tweede verdediging die verdwijnt onder de configuratie van NemoClaw. Cyera's uitleg is expliciet: "wanneer Ollama aan een niet-loopbackadres wordt gebonden (zoals 0.0.0.0), wordt de validatie van de Host-header volledig overgeslagen" — de code controleert of het bindadres loopback is en slaat de controle anders over.

Die combinatie is wat DNS-rebinding laat werken. Een bezoeker laadt een pagina van een domein dat de aanvaller beheert, waarbij de JavaScript van de pagina poort 11434 aanspreekt. De DNS van de aanvaller herleidt datzelfde domein vervolgens naar 127.0.0.1 of naar een adres op het lokale netwerk van het slachtoffer. Omdat het same-originbeleid van de browser is gekoppeld aan de hostnaam, en de hostnaam niet is veranderd, blijft de browser het verzoek als same-origin behandelen. Ollama ontvangt het, slaat Host-validatie over omdat de binding niet-loopback is, en ziet Origin gelijk aan Host — beide het domein van de aanvaller — zodat de CORS-laag het toestaat. Cyera's samenvatting van het resultaat is "volledige, niet-geauthenticeerde API-toegang". De aanvaller hoeft niets anders onder controle te hebben dan zijn eigen domein; er is geen voet aan de grond nodig op het netwerk of de DNS-infrastructuur van het slachtoffer.

De sandbox dekte dit niet af, omdat de kwetsbaarheid eronder ligt. eSecurity Planet beschrijft de bug als zich bevindend "in de inferentielaag onder die sandboxcontroles", waardoor het sandboxen van de agent de modelserver waarmee deze communiceert onbeschermd liet. Cyera maakt hetzelfde punt breder: "Het sandboxen van de agent is noodzakelijk, maar niet voldoende." De onderzoeksnotitie van de Cloud Security Alliance over deze zaak, gedateerd 27 augustus 2026, voegt daaraan toe dat non-loopback-binding de blootstelling nieuw leven inblaast achter een eerder Ollama-rebindingprobleem dat als CVE-2024-28224 werd geregistreerd.

Het is de moeite waard om dit ronduit te zeggen, omdat het een afzonderlijk blootstellingspad vormt naast de browseraanval: het binden aan 0.0.0.0 zet de niet-geauthenticeerde API ook rechtstreeks op het lokale netwerk, zodat elke host die naar poort 11434 kan routeren deze bereikt, helemaal zonder DNS-rebinding.

Van een leesbaar sjabloon naar een herschreven sjabloon

Zodra JavaScript de API kan bereiken, is de verkenning alledaags. Cyera somt op wat tijdens de demonstratie bereikbaar was: de namen, groottes, families en kwantisaties van de geïnstalleerde modellen uit GET /api/tags, de exacte Ollama-versie uit GET /api/version, modeldetails, systeemprompts, templates en licenties uit POST /api/show, en de hostnaam en publieke sleutel — of de ingelogde gebruikersnaam — uit POST /api/me. De destructieve endpoints waren ook bereikbaar: POST /api/pull om willekeurige modellen te downloaden en de schijf te vullen, POST /api/push om modellen naar ollama.com te pushen onder het account van het slachtoffer, DELETE /api/delete om de modellen van het slachtoffer te verwijderen, en POST /api/signout. Inferentie-endpoints, waaronder de OpenAI-compatibele route /v1/chat/completions, zouden prompts op de GPU van het slachtoffer uitvoeren.

De persistentie was afkomstig van een van die endpoints. Cyera's uiteenzetting legt uit dat het injecteren van een verborgen systeemveld via POST /api/create niet effectief was tegen OpenClaw, omdat de agent zijn eigen systeemprompt in de messages-array meestuurt en die het ingebouwde systeemveld van het model overschrijft. De sterkere route is het template-veld dat /api/create ook accepteert. Een Ollama-chattemplate is een Go-template dat bepaalt hoe berichten worden omgezet in onbewerkte tekst vóór inferentie, en "de template wordt tijdens inferentie toegepast op alle berichten, inclusief elk systeemprompt dat de client verstuurt". In de demonstratie haalde de aanvaller de originele template op via /api/show, voegde de injectie erin en behield tool-rendering, speciale tokens en rolformattering intact, en uploadde deze opnieuw.

Wat uit die plaatsing volgt, is het deel dat ertoe doet. Volgens Cyera blijft de wijziging bestaan in alle toekomstige gesprekken met het model, overleeft ze door de client aangeleverde systeemprompts, is ze onzichtbaar voor de gebruiker omdat de naam, grootte, metadata en mogelijkheden van het model onveranderd lijken, en beïnvloedt ze elke afnemer van het model — CLI, API-clients en agenten. Het artikel zelf stelt het zo: "de client kan dit niet detecteren of voorkomen", omdat de template "een eigenschap op modelniveau is die onzichtbaar is voor API-afnemers". CSO Online, dat op 26 augustus 2026 over deze zaak berichtte, citeert Luz, die de template beschrijft als iets dat "een laag onder alles zit wat een guardrail of een operator kan zien", en merkt op dat de wijziging elke toekomstige sessie overleeft.

De gevolgen die Cyera noemt voor een agent die op een vergiftigde template draait, zijn potentieel, niet waargenomen: kwetsbaarheden invoegen in gegenereerde code, beveiligingswaarschuwingen onderdrukken, aanbevelingen sturen richting door aanvallers gecontroleerde pakketten, URL's of configuraties, en gespreks- of bestandsgegevens exfiltreren waar uitgaande toegang bestaat. De uiteenzetting is ook zorgvuldig over wat de sandbox nog steeds begrenst — bestandssysteem-, netwerk- en procesacties op hostniveau — en merkt daarbij op dat de geautoriseerde toegang van de agent tot source control, CI/CD, interne API's, clouddiensten en MCP-servers juist de plek is waar de echte blootstelling ligt.

Wat de demonstratie liet zien, en wat niet

De proof of concept verliep in vier stappen, zoals Cyera het beschrijft. De onderzoekers maakten verbinding met een NemoClaw-sandbox en stuurden een prompt; de agent reageerde normaal. Vervolgens openden ze een webpagina die DNS-rebinding uitvoerde tegen de lokale Ollama-server. Die pagina las de Ollama-versie, de geïnstalleerde modellen, de hostnaam en de openbare sleutel, en vergiftigde de modelsjabloon met een verborgen instructie. Het opnieuw verzenden van dezelfde prompt leverde een antwoord op dat de geïnjecteerde marker bevatte, zonder dat er iets aan de sandboxagent zelf was gewijzigd.

Dat is de sterkste vorm van de bewering die de onderzoekers doen, en dat is ook waar de beperkingen van het dossier beginnen. Dit is een demonstratie onder een specifieke configuratie — Ollama gestart met OLLAMA_HOST=0.0.0.0:11434 — en geen inventarisatie van in gebruik zijnde systemen. In de voor dit stuk doorgenomen berichtgeving wordt nergens een slachtoffer genoemd: niet in het bulletin van NVIDIA, niet in het NVD-record, niet in Cyera's rapport, niet in de berichtgeving van CSO Online of eSecurity Planet. Geen van hen heeft een aantal gepubliceerd van blootgestelde NemoClaw-installaties, en geen van hen meldt exploitatie in het wild. Het ontbreken van een vermelding in CISA KEV is een feit over de catalogus, geen bewijs dat niemand het heeft geprobeerd.

Een onafhankelijke reactie kwam van Randolph Barr van Cequence Security, geciteerd door CSO Online: "DNS-rebinding is al meer dan tien jaar een kunstje voor browsers", zei hij, terwijl "het richten daarvan op een niet-geauthenticeerde lokale modelserver het nieuwe deel is". Dat is een accurate beschrijving van wat hier nieuw is — de browsertechniek is oud en de doelcategorie is nieuw — en het is ook een herinnering dat de openbaarmaking rust op de demonstratie van één onderzoeksteam. In de berichtgeving die voor dit artikel werd doorgenomen, werd geen onafhankelijke replicatie van het resultaat met template-poisoning gevonden.

De oplossing, en het Windows-gat

De commit die NVIDIA als de fix aanwijst, f06796ff3, heeft de titel "fix(security): bind Ollama to localhost with authenticated proxy". Afgezet tegen de openbare repository doet hij drie dingen. Hij wijzigt het pad voor lokale inferentie zodat Ollama wordt gestart op 127.0.0.1:11434 in plaats van 0.0.0.0:11434. Hij voegt een kleine geauthenticeerde reverse proxy toe, scripts/ollama-auth-proxy.js, die luistert op 0.0.0.0:11435 en een bearer-token valideert dat per instantie bij onboarding wordt gegenereerd en in de OpenShell-providerreferentie wordt opgeslagen, zodat de gecontaineriseerde gateway de inferentie nog steeds kan bereiken terwijl alles zonder het token een 401 krijgt; GET /api/tags is opzettelijk uitgezonderd voor container-healthchecks. En hij werkt het setup-script en de lokale-inferentietests bij naar de proxy-poort. In de commitmelding staat het interne ticket geregistreerd als "PSIRT bug 6002780, CVSS 7.5 High", tegen de 8.1 die NVIDIA later voor de CVE publiceerde.

De herstelstatus na die commit is waar de bronnen uiteenlopen, en de discrepantie moet worden gemeld in plaats van opgelost. CSO Online meldt dat "{{1}}het lek nu door Nvidia is gepatcht voor niet-Windows-systemen{{/1}}". De notitie van de Cloud Security Alliance van 27 augustus 2026 is specifieker: er staat dat macOS en Linux zijn gecorrigeerd in v0.0.35, dat een latere build, v0.0.106, weigert te starten tenzij Ollama aan loopback is gebonden, en dat "{{2}}de herstelmaatregelen van NVIDIA macOS en Linux omvatten, maar zich op het moment van publicatie niet uitstrekken tot Windows of WSL{{/2}}". In dat verslag bereikt de opstartcontrole "het codepad dat op Windows en WSL wordt gebruikt" niet, voegde v0.0.34 "alleen een waarschuwing toe in plaats van loopback-binding af te dwingen", en "bleven Windows- en WSL-implementaties op het moment van openbaarmaking blootgesteld". NVIDIA's eigen bulletin ondersteunt slechts een deel hiervan: de tabel met getroffen producten beperkt CVE-2026-65105 tot Linux, geeft één bijgewerkte commit en versie, en vermeldt geen Windows-vermelding, noch als getroffen, noch als opgelost. NVIDIA heeft in geen enkel hier beoordeeld document op die discrepantie gereageerd.

NVIDIA's openbare verklaring kwam na publicatie in CSO Online: "We waarderen de ontdekking en het rapport van de onderzoekers", aldus het bedrijf, dat eraan toevoegde dat "Nvidia een update heeft uitgebracht die klanten kunnen downloaden en installeren".

De maatregelen aan de operatorzijde die eSecurity Planet opsomt, zijn het praktische restant van het dossier:

• Update NemoClaw en bevestig dat de gedepolyeerde code commit f06796ff3 bevat, in plaats van de versiestring te vertrouwen, aangezien 0.0.25 zowel in de getroffen als in de bijgewerkte kolom voorkomt.

• Beperk Ollama tot 127.0.0.1, tenzij bredere toegang uitdrukkelijk nodig is; dit verwijdert de niet-loopback-binding waardoor Host-validatie wordt overgeslagen.

• Plaats een geauthenticeerde proxy en firewallcontroles voor inferentiediensten, in plaats van te vertrouwen op de eigen netwerkgrens van de toepassing.

• Houd luisterinterfaces, modelsjablonen, modelinstellingen en API-activiteit in de gaten op onverwachte wijzigingen, omdat het vergiftigde sjabloon de naam, grootte en metadata van het model ongemoeid laat.

• Bewaar bekend-goede kopieën van modelsjablonen en -instellingen voor detectie van en herstel na manipulatie, en test incidentresponsplannen voor modelvergiftiging en geëxposeerde inferentie — isolatie, integriteitscontroles, rotatie en herstel van inloggegevens.

• Pas least privilege toe op alles wat de agent kan bereiken: repositories, CI/CD-systemen, API's, cloudresources en credentials, want de sandbox begrenst de acties op de host, maar niet de entitlements die de agent heeft gekregen.

Wat is vastgesteld, wat is toegeschreven, en wat niet bekend is

Vastgesteld. NVIDIA heeft op 25 augustus 2026 bulletin 5872 gepubliceerd met CVE-2026-65105, beoordeeld als 8.1 Hoog, CWE-306, met betrekking tot NemoClaw voor Linux versies 0 tot en met 0.0.25 en opgelost in commit f06796ff3. Het NVD-record bevestigt de score, vector en zwakheidsklasse onafhankelijk van de eigen pagina van het bulletin. In de dankbetuiging van NVIDIA worden Markus Halvorsen en Elad Luz van Oasis Security genoemd. De publieke commit die als de oplossing wordt genoemd, wijzigt de binding naar loopback en introduceert een token-geauthenticeerde proxy op poort 11435. De CVE staat niet in de Known Exploited Vulnerabilities-catalogus van CISA.

Toegeschreven. Dat één bezoek aan een webpagina voldoende is om de chattemplate van een model te herschrijven en dat de wijziging latere sessies en door de client aangeleverde systeemprompts overleeft, is de bevinding van Oasis Security, gerapporteerd via Cyera's onderzoeksverslag en overgenomen door CSO Online en eSecurity Planet. Dat macOS en Linux werden gerepareerd in v0.0.35 en v0.0.106, terwijl Windows en WSL in v0.0.34 alleen werden gewaarschuwd, is de lezing van de Cloud Security Alliance; de kortere versie van dezelfde bewering door CSO Online is dat de patch niet-Windows-systemen dekt. De lijst met gevolgen voor downstream-agents — kwetsbare code, onderdrukte waarschuwingen, door aanvallers gestuurde pakketten, data-exfiltratie — is Cyera's beschrijving van mogelijke effecten, niet een waargenomen uitkomst.

Niet vastgesteld. Hoeveel NemoClaw-deployments met de 0.0.0.0-binding zijn uitgevoerd, en hoeveel daarvan bereikbaar waren vanuit een aangrenzend netwerk, is door niemand gepubliceerd. Of het vergiftigingspad is meegewogen in NVIDIA's 8.1-score is onbekend — de gepubliceerde vector bevat geen integriteitsimpact, en NVIDIA heeft er in geen van beide richtingen iets over gezegd. Geen enkele hier beoordeelde bron heeft een slachtoffer, een incidentrapport of exploitatie in het wild geregistreerd, en geen tweede onderzoeksgroep heeft een replicatie gepubliceerd.

Het record zelf is een onderzoeksbevinding, geen uitrolgebeurtenis: de archiefvermelding heeft een hoge ernst met betrouwbaarheidsgraad A, registreert geen schade in de praktijk en markeert het als onbetwist. Dat komt overeen met wat de bronnen laten zien — een goed gedocumenteerde kwetsbaarheid met een aangetoonde exploit en geen gemelde slachtoffers — en het is de reden dat dit stuk de demonstratie scheidt van de gevolgen ervan in plaats van de twee als één bewering te behandelen.