Filipino

← Bumalik sa listahan

Nabawi ang mga tagas ng Ollama memory: CVE-2026-722 na may mataas na panganib

itadol5j

Tumatagos ang memorya ni Ollama.

Hinahango muli ng 🚨 Ollama ang tagas ng memorya: CVE-2026-7482 Nanganganib ang high-risk

Mga mananaliksik hinggil sa seguridadMuling DinalawOllama Memory Leaky (CVE-2026-722)Nagbasa si Heap out-of-bundsGap:

  • Impact na Bersiyon: Ollama 0.17.1 Lahat ng bersyon bago
  • Uri ng manok: Heap Cross Border Reading (CWE-125)
  • Landas ng Pagsalakay://api/pagsilang → GGF karga → qualitative → memory tagas /api/ tulak na tulo
  • Mga datos ng LeakMga Pabagu - bago sa Kapaligiran, mga Susi sa API, mga tip sa sistema, mga usapan ng gumagamit
  • Hindi Totoo:/api/pagsilang at /api/push endpoint na hindi sertipikado

♪ Ang pinakapusod ng butas ♪

GGUF Modelong Hukay

Pagpasok ng HukayGGF model loader:

  • /appi/pagsilangGGF file para sa mga end-taker
  • Tenor offset at lakiHigit sa aktuwal na haba ng talaksan
  • Ang proseso ng pag - uuriMagbasa nang higit pa sa inilaang mga stage ng salansan
  • LokasyonFs/gml/gguf.go at server/quantification.go (Isinusulat naTo()

Pagtunaw ng memorya

Ang tumutulong memorya ay maaaring maglaman ng:

Mga datos ng Leak Panganib
Iba't Ibang Kapaligiran Maaaring maglaman ng sensitibong mga kaayusan
Mga Susi sa API Malaking panganibSusi ng Paglalantad sa API
Mungkahi sa Sistema Paglalantad sa Loob ng Configuration
Pinagsasama ang datos sa pag - uusap ng gumagamit Malaking panganib: Pagsisiwalat ng pribadong buhay

Mga daanan ng tagas ng Data

Ang tumatagas na memorya ay maaaring makuha./appi/pushTanggal:

  • Bagong HuwaranAng resultang modelo ng download
  • AtakeIba Pang Organiser
  • Hindi Totoo: Ang dulong Sentral ng pamamahagi sa gawing itaas ng ilog ay hindi sertipikado

antas ng panganib

CVS 4.0 Rating

CVSS: 4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/VA:H/SC:N/SI:N/SA:N/AU:Y/R:A/V:D/RE:L/U:Reded:N:N/U:

Dimensiyon Pag - uuri Mga Pahiwatig
Attack vector Network (AV:N) Puwede tayong sumalakay online.
Pagiging masalimuot ng pagsalakay Mababa (AC:L) Madali itong salakayin.
Mga Kahilingan sa Pagtupad Wala (PR:N) Hindi na kailangan pang patunayan
Interactive ng User Wala (UI:N) Walang hinihiling na interaksiyon sa gumagamit
Epekto ng Paglilihim Mataas (VC:H) Epekto ng Mataas na Paglilihim
Napakalaking epekto Mataas (VA:H) Malaking Tulong

: Apektadong paglalagay

Pag - aalis ng Halaga

Pagkawasak ng Ollama127.0.0.1ngunitOLAMA HOST=0.0.0.0Malawakang ginagamit ang Configure:

  • Pag - aalis ng Pagkatali: 127.0.0.1 (local)
  • Paglalantad sa madla:OLAMA HOST=0.0.0 (karaniwang ginagamit)
  • Paglalantad ng Marami: Kapansin - pansing nakita sa pampublikong network

Matataas na eksena

eksena Panganib
Inilantad ni Ollama sa Internet. Napakatataas.: maaaring sumalakay nang tuwiran
Multi-User na Nagbabahagi ng Ollama MataasIba Pang Organiser
Isama ang mga sensitibong Susi sa API Mataas: Susi sa API
Lokal na Paglalagay MediumIba Pang Organiser

Pagpapasinaya

Programme 1: Upgrade to 0.17.1+ (recommented)

# 升级 Ollama
# macOS
brew upgrade ollama

# Linux
curl -fsSL https://ollama.com/install.sh | sh

Sapat na KasiyahanNakaayos ang tagning sa cross-border na nagbabasa ng mga problema ng GGF loader.

Option 2: limitahan ang exposure ng network

# 不要使用 0.0.0.0 绑定
# 保持默认 127.0.0.1
OLLAMA_HOST=127.0.0.1

Programme 3: Mga restriksiyon sa firewall

# 限制 /api/create 和 /api/push 端点访问
# 只允许可信来源

Programa 4: Pagkontrol sa mga file ng GGUF

  • Tingnan ang mga file ng GGF: Konsor offset at laki
  • Monitor /api/Pagsilang: Nag-download ng downloaded GGF file source
  • Monitor /api/pushIba Pang Organiser

🚀Panibagong katayuan

Muling Dinalaw: Matagumpay na nabawi ng mga mananaliksik sa seguridad ang butas na ito:

  • Mga Kalagayang Nagbabalik: Ollama < 0.17.1
  • Landas ng Pagsalakay: Itaas ang sira - sirang GGF → Trigger Quantification → Memory Leak
  • Pag - uuri sa Tatak: Matagumpay na paglabas ng mga variable sa kapaligiran at mga datos sa pag - uusap
  • Di - nagbabagong Katotohanan: Matagumpay na ipinasa ang /api/push na natapong impormasyon

Ilagay ang impormasyon

Impormasyon Kaugnayan
Fix Version v0.17.1
Patch para sa pagpapasakop 88d57d0483
PR #14406

Sumaryo

Ollama CVE-2026-7482 RAM flow holeMuling Dinalaw:

  • Impact sa Aldama 0.17.1 ang lahat ng naunang bersyon
  • Heap Cross-Border Reading, CWE-125
  • Leakout: Mga variable sa kapaligiran, API Keys, mga tip sa sistema, mga usapan ng gumagamit
  • Paligid na ruta: /api/push up paakyat sa sumasalakay
  • Walang endpoint para sa mapagkakatiwalaan: /api/product at /api/push
  • Panganib ng pagkalantad sa publiko: OLACA HOST=0.0.0.0.0 na malawakang ginagamit
  • Mitasyon: Upgrade to 0.17.1+ o limitahan ang pagkakalantad ng network

Ang mga high-risk clip ay nabawi, at ang mga exposure ay nadagdagan o nalimitahan agad.

NVD:Mga http://nvd.nista.gov/vuln/detail/CVE-2026-7482

Fix Version:Mga http://github.com/olatid/olatid/leases/tag/v0.17.