CVE-2026-33298 in llama.cpp
Zusammenfassung
von VulDB • 24.05.2026
llama.cpp ist eine Inferenz-Engine für mehrere LLM-Modelle in C/C++. Vor Version b7824 ermöglicht eine Integer-Overflow-Schwachstelle in der Funktion `ggml_nbytes` einem Angreifer, die Speichervalidierung zu umgehen, indem eine GGUF-Datei mit spezifischen Tensor-Dimensionen erstellt wird. Dies führt dazu, dass `ggml_nbytes` eine deutlich kleinere Größe zurückgibt als erforderlich (z. B. 4 MB statt Exabytes), was bei der nachfolgenden Verarbeitung des Tensors durch die Anwendung zu einem heap-based buffer overflow führt. Diese Schwachstelle ermöglicht potenzielle Remote Code Execution (RCE) durch Speicherkorruption. Die Version b7824 enthält eine Korrektur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.