NemoClaw CVE-2026-65105: Ett webbläsarbesök skrev om modellens chattmall

Den 25 augusti 2026 publicerade NVIDIA säkerhetsbulletin 5872 och klassade en brist i NVIDIA NemoClaw, Linuxverktyget som kör OpenClaw-agenter i OpenShell-sandlådor, som Hög med en CVSS-baspoäng på 8,1. CVE-2026-65105 är en autentiseringsbrist: NemoClaw startar Ollama-inferensservern på alla nätverksgränssnitt, och Ollamas API har ingen egen autentisering. Forskare på Oasis Security, som namnges i NVIDIAs tackavsnitt och nu köps upp av Cyera, byggde en demonstration där ett enda besök på en webbsida som kontrolleras av angriparen räckte för att nå den servern inifrån webbläsaren och skriva om modellens chattmall – en ändring som levde kvar efter senare konversationer och som överlevde även när agenten angav sin egen systemprompt. Inget utnyttjande i det vilda har registrerats. Den fullständiga posten, med sina allvarlighets- och konfidensgrader, finns i Orca AI Incident Archive tillsammans med närliggande incidenter från samma månad.

Vad NVIDIA publicerade

Bulletinen har titeln "Säkerhetsbulletin: NVIDIA NemoClaw och OpenShell – augusti 2026", nummer 5872, och dess revisionshistorik innehåller en enda post: version 1.0.0, daterad 2026-08-25. Det är en sammanställning, inte ett rådgivningsmeddelande för ett enskilt CVE – tabellen över berörda produkter i den listar arton CVE:er för två produkter, från CVE-2026-65081 till CVE-2026-65105. Den största posten i gruppen är CVE-2026-65093, en sandlådeflykt i NVIDIA OpenShell för Linux, klassad som 9,9 Critical.

För CVE-2026-65105 anger bulletinen att sårbarheten "{{1}}i dess konfiguration av inferensservern, där en fjärrangripare kan få åtkomst till inferenstjänsten utan autentisering{{/1}}", och att ett framgångsrikt utnyttjande "{{2}}kan leda till informationsläckage och tjänsteavbrott{{/2}}". Den publicerade vektorn är CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — angränsande nätverk, låg komplexitet, inga privilegier, ingen användarinteraktion, hög konfidentialitetspåverkan, hög tillgänglighetspåverkan — och svaghetsklassen är CWE-306, "Saknad autentisering för kritisk funktion".

NVIDIAs tabell över berörda produkter anger de berörda versionerna som "0 till 0.0.25" för NemoClaw på Linux, och den uppdaterade versionen som "f06796ff3; 0.0.25" – en commit-hash parad med samma versionsnummer som förekommer i den berörda kolumnen. eSecurity Planet, som rapporterade om sårbarheten den 27 augusti 2026, påpekar just denna överlappning och råder administratörer att "kontrollera att den distribuerade koden innehåller den åtgärdande commiten i stället för att bara förlita sig på versionsnumret".

I tacksektionen krediteras "CVE-2026-65105: Markus Halvorsen, Elad Luz på Oasis Security". NVD-posten för CVE:n publicerades den 25 augusti 2026 kl. 21:17 UTC och ändrades senast den 1 september 2026; den anger NVIDIA:s poäng 8,1 som den enda CVSS v3.1-bedömningen, och CVE:n förekommer inte i CISA:s katalog över kända exploaterade sårbarheter.

En detalj i NVIDIAs egen post förtjänar att nämnas snarare än att slätas över. Vektorn har ingen integritetskomponent alls – I:N, integrity impact none – och den enradiga beskrivningen nämner endast informationsröjande och överbelastningsattack. Forskarnas centrala påstående, som diskuteras nedan, är att modellens chattmall ändrades och förblev ändrad. Den tolkningen av vektorn är vår, inte NVIDIAs: företaget har inte publicerat något uttalande om huruvida mallomskrivningsvägen beaktades när betyget tilldelades.

Konfigurationen som gjorde en lokal server nåbar

NemoClaw distribuerar OpenClaw-agenter i en OpenShell-sandlåda och stöder Ollama som lokal inferensbackend. Konfigurationsproblemet är en bieffekt av denna konstruktion. Som Cyeras forskningsrapport av Elad Luz och Ofek Itach förklarar körs OpenShell i Docker, så en Ollama-server på den förvalda loopback-adressen går inte att nå inifrån containern. NemoClaw startar därför Ollama med OLLAMA_HOST=0.0.0.0:11434, vilket binder port 11434 på alla nätverksgränssnitt i stället för endast på värdens loopback. Samma rapport noterar att installationsprogrammet visar "Using Ollama on localhost:11434" även om den faktiska bindningen är betydligt bredare.

Ollamas API har ingen autentisering. Dess skyddslager riktade mot webbläsare är två: en CORS-mellanprogramvara som behandlar en begäran vars Origin är lika med dess Host som samma ursprung och låter begäranden utan Origin-rubrik passera, samt ett valideringssteg för Host-rubriken som normalt endast accepterar lokala värdnamn. Det andra skyddet är det som försvinner under NemoClaws konfiguration. Cyeras redogörelse är tydlig: "när Ollama är bundet till en icke-loopback-adress (som 0.0.0.0) hoppas valideringen av Host-rubriken över helt" – koden kontrollerar om bindningsadressen är loopback och kringgår kontrollen i annat fall.

Det är den kombinationen som gör att DNS-rebinding fungerar. En besökare laddar en sida från en domän som angriparen kontrollerar, där sidans JavaScript adresserar port 11434. Angriparens DNS löser sedan om samma domän till 127.0.0.1 eller till en adress på offrets lokala nätverk. Eftersom webbläsarens same-origin-princip är knuten till värdnamnet, och värdnamnet inte har ändrats, fortsätter webbläsaren att behandla begäran som same-origin. Ollama tar emot den, hoppar över Host-validering eftersom dess bindning inte är loopback, och ser Origin vara lika med Host – båda är angriparens domän – så CORS-lagret tillåter den. Cyeras sammanfattning av resultatet är "full, oautentiserad API-åtkomst". Angriparen behöver inte kontrollera något annat än sin egen domän; inget fotfäste på offrets nätverk eller DNS-infrastruktur krävs.

Sandlådan täckte inte detta eftersom bristen ligger under den. eSecurity Planet beskriver buggen som att den ligger "i inferenslagret under dessa sandlådekontroller", så att sandlådan för agenten lämnade modellservern den kommunicerar med oskyddad. Cyera framhåller samma poäng bredare: "Att köra agenten i sandlåda är nödvändigt men inte tillräckligt." Cloud Security Alliances forskningsnotis om fallet, daterad 27 augusti 2026, tillägger att bindning till icke-loopback återuppväcker exponeringen bakom ett tidigare Ollama-rebindningsproblem som spåras som CVE-2024-28224.

Det är värt att säga rakt ut, eftersom det är en separat exponeringsväg från webbläsarattacken: att binda till 0.0.0.0 lägger också det oautentiserade API:et direkt på det lokala nätverket, så vilken värd som helst som kan routa till port 11434 når det utan DNS-rebinding över huvud taget.

Från en läsbar mall till en omskriven sådan

När väl JavaScript kan nå API:et är rekognoseringen alldaglig. Cyera listar vad som var nåbart i demonstrationen: de installerade modellnamnen, storlekarna, familjerna och kvantiseringarna från GET /api/tags, den exakta Ollama-versionen från GET /api/version, modellinformation, systemprompter, mallar och licenser från POST /api/show samt värdnamnet och den publika nyckeln – eller det inloggade användarnamnet – från POST /api/me. Även de destruktiva endpunkterna var nåbara: POST /api/pull för att ladda ner godtyckliga modeller och fylla disken, POST /api/push för att pusha modeller till ollama.com under offrets konto, DELETE /api/delete för att ta bort offrets modeller och POST /api/signout. Inferensendpunkter, inklusive den OpenAI-kompatibla routen /v1/chat/completions, skulle köra prompter på offrets GPU.

Persistensen kom från en av dessa endpoints. Cyeras analys förklarar att injektion av ett dolt systemfält via POST /api/create var ineffektivt mot OpenClaw, eftersom agenten skickar sin egen systemprompt i messages-matrisen och att den överrider modellens inbyggda systemfält. Den starkare vägen är mallfältet som /api/create också accepterar. En Ollama-chattmall är en Go-mall som styr hur meddelanden renderas till rå text före inferens, och "mallen tillämpas vid inferenstidpunkten på alla meddelanden, inklusive eventuella systemprompt som klienten skickar". I demonstrationen hämtade angriparen den ursprungliga mallen via /api/show, skarvade in injektionen i den medan verktygsrendering, specialtoken och rollformatering hölls intakta, och laddade upp den igen.

Det som följer av den placeringen är det som har betydelse. Enligt Cyera består ändringen i alla framtida konversationer med modellen, överlever systemprompter som tillhandahålls av klienten, är osynlig för användaren eftersom modellens namn, storlek, metadata och funktioner ser oförändrade ut, och påverkar alla användare av modellen – CLI, API-klienter och agenter. Rapportens egen formulering är att "klienten kan inte upptäcka eller förhindra detta" eftersom mallen är "en egenskap på modellnivå som är osynlig för API-konsumenter". CSO Online, som rapporterade om fallet den 26 augusti 2026, citerar Luz som beskriver mallen som något som ligger "ett lager under allt som en skyddsräls eller en operatör kan se", och noterar att ändringen överlever varje framtida session.

De konsekvenser som Cyera listar för en agent som körs på en förgiftad mall är potentiella, inte observerade: att infoga sårbarheter i genererad kod, undertrycka säkerhetsvarningar, styra rekommendationer mot angriparkontrollerade paket, URL:er eller konfigurationer, och exfiltrera konversations- eller fildata där utgående åtkomst finns. Redogörelsen är också noggrann med vad sandlådan fortfarande begränsar – filsystem, nätverk och processåtgärder på värdnivå – samtidigt som den noterar att agentens auktoriserade åtkomst till versionshantering, CI/CD, interna API:er, molntjänster och MCP-servrar är där den verkliga exponeringen ligger.

Vad demonstrationen visade, och vad den inte visade

Proof of concept-testet genomfördes i fyra steg, så som Cyera beskriver det. Forskarna anslöt till en NemoClaw-sandbox och skickade en prompt; agenten svarade normalt. De öppnade sedan en webbsida som utförde DNS-rebinding mot den lokala Ollama-servern. Den sidan läste Ollama-versionen, de installerade modellerna, värdnamnet och den publika nyckeln och förgiftade modellmallen med en dold instruktion. När samma prompt skickades igen returnerades ett svar som innehöll den injicerade markören, utan att någon ändring gjorts i den sandboxade agenten själv.

Det är den starkaste formen av det påstående som forskarna framför, och det är också där uppgifternas begränsningar börjar. Detta är en demonstration under en specifik konfiguration — Ollama startat med OLLAMA_HOST=0.0.0.0:11434 — och inte en kartläggning av system i drift. Inget offer namnges någonstans i den rapportering som granskats för den här artikeln: inte i NVIDIAs bulletin, inte i NVD-posten, inte i Cyeras redogörelse, inte i CSO Onlines eller eSecurity Planets rapportering. Ingen av dem har publicerat något antal exponerade NemoClaw-installationer, och ingen av dem rapporterar om utnyttjande i verkligheten. Att CISA KEV-listan saknar en post är ett faktum om katalogen, inte ett bevis för att ingen har försökt.

En oberoende kommentar kom från Randolph Barr på Cequence Security, citerad av CSO Online: "DNS-rebinding har varit ett partytrick för webbläsare i över ett decennium", sade han, medan "att rikta det mot en oautentiserad lokal modellserver är det nya". Det är en rimlig beskrivning av det nya här – webbläsartekniken är gammal och målklassen är ny – och det är också en påminnelse om att avslöjandet vilar på ett forskarlags demonstration. Ingen oberoende replikering av resultatet av mallförgiftning hittades i den rapportering som granskades för den här artikeln.

Fixen och Windows-gapet

Commiten som NVIDIA anger som fixen, f06796ff3, har titeln "fix(security): bind Ollama to localhost with authenticated proxy". Läst mot det publika repositoriet gör den tre saker. Den ändrar den lokala inferensvägen så att Ollama startas på 127.0.0.1:11434 i stället för 0.0.0.0:11434. Den lägger till en liten autentiserad omvänd proxy, scripts/ollama-auth-proxy.js, som lyssnar på 0.0.0.0:11435 och validerar en bearer-token som genereras per instans vid onboarding och lagras i OpenShell-providerns autentiseringsuppgift, så att den containeriserade gatewayen fortfarande kan nå inferens medan allt utan token får 401; GET /api/tags undantas avsiktligt för hälsokontroller av containrar. Och den uppdaterar installationsskriptet och testerna för lokal inferens till proxyporten. Commit-meddelandet anger det interna ärendet som "PSIRT bug 6002780, CVSS 7.5 High", jämfört med 8.1 som NVIDIA senare publicerade för CVE:n.

Reparationsstatusen efter den commiten är där källorna går isär, och divergensen bör rapporteras snarare än lösas. CSO Online rapporterar att "sårbarheten har nu patchats av Nvidia för icke-Windows-system". Cloud Security Alliance-noten av den 27 augusti 2026 är mer specifik: den säger att macOS och Linux rättades i v0.0.35, att ett senare bygge, v0.0.106, vägrar att starta om inte Ollama är loopback-bunden, och att "Nvidias åtgärd omfattar macOS och Linux men sträcker sig, vid publiceringen, inte till Windows eller WSL". I den redogörelsen "når startkontrollen inte den kodväg som används på Windows och WSL", v0.0.34 "lade endast till en varning i stället för att genomdriva loopback-bindning", och "Windows- och WSL-distributioner förblev exponerade vid tidpunkten för avslöjandet". Nvidias eget bulletin stöder bara en del av detta: dess tabell över berörda produkter begränsar CVE-2026-65105 till Linux, anger en enda uppdaterad commit och version, och listar ingen Windows-post vare sig som berörd eller som åtgärdad. Nvidia svarade inte på den avvikelsen i något dokument som granskats här.

Nvidias offentliga uttalande kom efter publiceringen i CSO Online: "Vi värdesätter forskarnas upptäckt och rapport", sade företaget och tillade att "Nvidia har utfärdat en uppdatering som kunderna kan ladda ner och installera".

De åtgärder på operatörssidan som eSecurity Planet listar är den praktiska återstoden av registret:

• Uppdatera NemoClaw och bekräfta att den distribuerade koden innehåller commit f06796ff3, i stället för att lita på versionssträngen, eftersom 0.0.25 förekommer i både den drabbade och den uppdaterade kolumnen.

• Begränsa Ollama till 127.0.0.1 om inte bredare åtkomst uttryckligen behövs, vilket tar bort den bindning till annat än loopback som gör att Host-valideringen hoppas över.

• Placera en autentiserad proxy och brandväggskontroller framför inferenstjänster i stället för att lita på applikationens egen nätverksgräns.

• Övervaka lyssnande gränssnitt, modellmallar, modellinställningar och API-aktivitet med avseende på oväntade ändringar, eftersom den förgiftade mallen lämnar modellens namn, storlek och metadata oförändrade.

• Spara kända goda kopior av modellmallar och inställningar för detektering av manipulering och återställning, och testa incidentresponsplaner för modellförgiftning och exponerad inferens – isolering, integritetskontroller, rotation och återställning av autentiseringsuppgifter.

• Tillämpa principen om minsta behörighet på allt som agenten kan nå: kodförråd, CI/CD-system, API:er, molnresurser och autentiseringsuppgifter, eftersom sandlådan begränsar värdåtgärder men inte de behörigheter som agenten har tilldelats.

Vad som är fastställt, vad som är attribuerat och vad som inte är känt

Fastställt. NVIDIA publicerade bulletin 5872 den 25 augusti 2026 med CVE-2026-65105 klassad som 8,1 Hög, CWE-306, vilken påverkar NemoClaw för Linux versioner 0 till 0.0.25 och åtgärdad i commit f06796ff3. NVD-posten bekräftar poängen, vektorn och svaghetsklassen oberoende av bulletinens egen sida. NVIDIAs bekräftelse namnger Markus Halvorsen och Elad Luz från Oasis Security. Den offentliga commit som anges som åtgärd ändrar bindningen till loopback och inför en tokenautentiserad proxy på port 11435. CVE:n finns inte i CISA:s katalog Known Exploited Vulnerabilities.

Tillskrivet. Att ett enda webbplatsbesök räcker för att skriva om en modells chattmall och att ändringen överlever senare sessioner och klienttillhandahållna systemprompter är slutsatsen från Oasis Security, rapporterad via Cyeras forskningsgenomgång och vidarebefordrad av CSO Online och eSecurity Planet. Att macOS och Linux åtgärdades i v0.0.35 och v0.0.106 medan Windows och WSL endast varnades i v0.0.34 är Cloud Security Alliances redogörelse; CSO Onlines kortare version av samma påstående är att patchen omfattar system som inte är Windows. Listan över konsekvenser för agenter nedströms – sårbar kod, undertryckta varningar, paket som angriparen styr, dataexfiltrering – är Cyeras beskrivning av potentiella effekter, inte ett observerat utfall.

Inte fastställt. Hur många NemoClaw-driftsättningar som kördes med 0.0.0.0-bindningen, och hur många som var nåbara från ett intilliggande nätverk, har inte publicerats av någon. Om förgiftningsvägen räknades in i NVIDIAs 8.1-poäng är okänt — den publicerade vektorn har ingen integritetspåverkan, och NVIDIA har inte sagt något om det åt något håll. Inget offer, ingen incidentrapport och inget utnyttjande i verkliga miljöer har registrerats av någon källa som granskats här, och ingen annan forskargrupp har publicerat en replikering.

Själva posten är ett forskningsresultat, inte en driftsättningshändelse: arkivposten har hög allvarlighetsgrad med konfidensbetyget A, registrerar ingen verklig skada och anger att den är obestridd. Det stämmer överens med vad källorna visar – en väl dokumenterad sårbarhet med en demonstrerad exploit och inga rapporterade personskador – och det är därför den här artikeln skiljer demonstrationen från dess konsekvenser i stället för att behandla de två som ett enda påstående.