NVIDIA NemoClawのOllama連携に脆弱性

2026年8月25日、Oasis SecurityはNVIDIA NemoClawとOllamaの連携設定に起因する脆弱性CVE-2026-65105を公開した。攻撃者が用意した1枚のWebページを閲覧しただけで、DNSリバインディングにより開発者のローカルOllamaインスタンスに到達し、AIエージェントが参照するチャットテンプレートを書き換えて、以後の会話すべてに気づかれない指示を注入できる。macOS/LinuxはNemoClaw v0.0.35で修正済みだが、本稿執筆時点でWindows/WSLは未修正である。該当プラットフォームの利用者は、NemoClawの更新、Ollamaの待ち受けアドレスの確認、ファイアウォールでの11434番ポート遮断を直ちに行うべきである。

NemoClawは、NVIDIAがオープンソースのAIエージェントフレームワークOpenClawをOpenShellサンドボックス内にデプロイするためのラッパーである。エージェントがローカルで動くLLMを参照できるよう、NemoClawは内部的にOllama（ローカル推論サーバー）を自動起動するが、その際に既定の127.0.0.1ではなくOLLAMA_HOST=0.0.0.0:11434で全ネットワークインターフェースに待ち受けさせる設定になっていた。インストール時の案内には「localhost:11434」と表示されるため、利用者は自分の環境がループバック限定だと誤認しやすい。企業がOpenClaw系のAIエージェントをどう安全に導入するかはエンタープライズ向けNemoClawセキュリティアーキテクチャ、中小企業向けの導入判断は中小企業向けNemoClaw活用ガイドで解説している。

DNSリバインディングは、攻撃者が自分の管理するドメインのDNS応答を操作し、ブラウザに「同一オリジン」だと誤認させたまま実際には別のIPアドレス（多くはループバックアドレス127.0.0.1）へリクエストを送らせる手法である。攻撃者はまず自分のドメインを短いTTLで攻撃者サーバーのIPに解決させてWebページを読み込ませ、その後DNS応答を127.0.0.1へ切り替える。ブラウザの同一オリジンポリシーはホスト名単位で判定されるため、実際に到達する先のIPアドレスが変わっても、ブラウザは「同じオリジンへのリクエスト」として扱ってしまう。被害者のネットワークやDNSサーバーへの侵入は不要で、被害者に悪意あるページを一度開かせるだけで成立する点が特徴である。Ollama自体も過去に同種の問題（CVE-2024-28224、2024年3月のv0.1.29で修正）に対処し、Hostヘッダ検証を導入しているが、この検証はOllamaがループバックアドレスで待ち受けている場合にのみ有効に機能する。NemoClawのように0.0.0.0でバインドすると、この検証自体がスキップされ、攻撃者が用意したHostヘッダがそのまま通過してしまう。「ローカルにしかバインドしていないから安全」という前提は、バインドアドレスが実際にループバックであると確認できて初めて成り立つ。

OllamaのAPIには標準では認証機構がない。到達可能になった攻撃者は、まず/api/tagsでインストール済みモデルの一覧を取得し、/api/showで対象モデルが現在使っているGoテンプレート（会話履歴やシステムプロンプトをモデルへの入力テキストへ整形するチャットテンプレート）を取得する。そのテンプレートに攻撃者の指示文を追記した上で/api/createエンドポイントへ送り返し、同名モデルを上書きする。チャットテンプレートはメッセージのレンダリング処理そのものであるため、この汚染は特定の会話1回限りではなく、そのモデルを呼び出すすべての以後の会話に対して、システムメッセージの後ろに攻撃者の指示が毎回自動的に追記される形で永続する。ユーザーが送るプロンプトにも、開発者が設定するシステムプロンプトにも汚染の痕跡は見えない。「会話の外側」にあるテンプレートという層が書き換えられているため、入力のフィルタリングやガードレールといった通常のプロンプトインジェクション対策では検知できない点が深刻である。

- NemoClawのバージョン: macOS/LinuxはNemoClaw v0.0.35以降であれば修正済み。それ未満は要更新
- Windows/WSL利用者: 本稿執筆時点で修正版が存在しないため、後述の緩和策を優先する
- 待ち受けアドレス: 0.0.0.0や::でリッスンしている場合、ネットワーク上のどこからでも到達可能な状態にある
- 他端末からの疎通: 同じLAN上の別端末やスマートフォンのブラウザからポート11434へアクセスできてしまう場合、ブラウザ経由の攻撃が成立し得る

- NemoClawの更新: macOS/LinuxはただちにNemoClaw v0.0.35以降へ更新する
- Windows/WSLでの回避策: 修正版が出るまでは、OllamaをNemoClaw経由で自動起動させず、OLLAMA_HOST=127.0.0.1を明示して手動起動する
- ループバック限定バインド: OLLAMA_HOSTを設定しないか、127.0.0.1:11434を明示指定し、0.0.0.0でのバインドを避ける
- OLLAMA_ORIGINSの許可リスト化: 外部公開が必要な場合でも、ワイルドカード(*)ではなく実際に利用するオリジンのみをOLLAMA_ORIGINSで明示的に許可する
- ファイアウォールでのポート遮断: 11434番ポートへの外部からのアクセスをOS・ネットワークファイアウォールで拒否する
- チャットテンプレートの定期確認: ollama show <model> --template（またはAPI経由の/api/show）で、意図しない文字列がテンプレートに追記されていないか定期的に確認する

バージョン番号については補足がある。NemoClawのローカルOllamaプロキシは、ループバックにバインドされていないバックエンドに対しては起動を拒否するようになっており、この既定値は2026年8月10日のv0.0.106で導入された。ただしこの防御は、0.0.0.0バインドが設定されるWindows/WSLの導入経路には届かない。したがって「v0.0.106以降だから安全」とは言えず、プラットフォームごとに待ち受けアドレスを実機で確認する必要がある。

今回の問題はNemoClaw固有のバグというより、「開発者の利便性のためにローカル推論サーバーをネットワーク全体に公開し、ブラウザからの到達性を軽視する」という設計パターンに起因する。Ollamaに限らず、LM Studio・vLLMなど他のローカル推論サーバーを社内で運用する場合も、同型のリスクが当てはまる。境界を「社内ネットワークだから安全」と一括りにせず個々のエンドポイントで検証する考え方は、ゼロトラストセキュリティガイドで解説している一般原則とも一致する。

CVE-2026-65105は、NVIDIA NemoClawがOllamaを0.0.0.0で待ち受けさせ、かつHostヘッダ検証がループバック限定でしか機能しないという2つの設計上の弱点を、DNSリバインディングで組み合わせて突く脆弱性である。攻撃者はWebページを1つ閲覧させるだけで、チャットテンプレートという会話の外側のレイヤーを書き換え、以後のすべてのやり取りに気づかれない指示を永続的に注入できる。macOS/LinuxはNemoClaw v0.0.35で修正済みだが、Windows/WSLは本稿執筆時点で未修正であり、利用者は自らOllamaの待ち受けアドレスを固定し、ファイアウォールで11434番ポートを遮断するなどの緩和策を講じる必要がある。ローカルLLMをどのツールで動かすにせよ、推論サーバーをブラウザから到達可能な状態で放置しないことが、今回の教訓である。