Filipino

← Bumalik sa listahan

[Repeated]

itadol5j

[Repeated]

Sa mga nakaraang araw, ang mga mananaliksik ng seguridad ay nagsiwalat ng seryosong mga tagas ng RAM sa Ollama Open Source Large Model flict platform (CVE-2026-7482). Ang loophole ay nagpapahintulot sa sumasalakay na bumasa ng sensitibong impormasyon sa memorya ng server sa ilalim ng espesipikong mga kaayusan, pati na ang mga variable sa kapaligiran, mga susi ng API, mga babala ng sistema, at sabay - sabay na paggamit ng impormasyon sa komunikasyon.

Katiwasayan ng AI

Ang loophole ay matatagpuan sa GGF model loader sa Ollama, kung saan ang sumasalakay ay maaaring mag-bunsod ng out-of-house na pagbasa (thand out-of-bunds na binasa) sa pamamagitan ng mahusay na-constructed na maliscious GGF files, sa gayon ay tumatagas ang server memory data.

Sobrang pagtanaw sa mga puwang sa seguridad

Ang partikular na panganib ng loophole na ito ay na maaari itong humantong hindi lamang sa pagtagos ng mga datos mula sa kasalukuyang sesyon, kundi pati na rin sa epekto ng pribadong impormasyon mula sa ibang sabay-sabay na gumagamit. Dahil ang Ollama ay malawak na ginagamit sa mga lokal na malalaking modelong mga serbisyong pangangatwiran, maraming mga negosyo at mga developer ay maaaring mailantad sa mga endpoint ng API sa loob o sa publikong network, na naglalagay sa loophole sa isang mas mataas na potensiyal na banta.

Hindi makapagbubukas ng mensahe

  • Bilang ng CVE: CVE-2026-7482
  • CWE classification: CWE-125 – Tala-of-bunds Read
  • Uri ng manok: tulo ng memorya / salansan ng natapong takip
  • Pag - aalis ng mga pinagmumulan: Echo security team

Mga Detalye ng Gap

Ang teoriya ng Hole

Ang tagas ay nasa GGF model loader sa Ollama, sa mga sumusunod na dokumento:

  • fs/ggml/gguf.go
  • server/quantization.goMediumWriteTo()Mga Kasiyahan

Ang proseso ng pagsalakay ay ganito:

  1. Dumaan ang mga sumalakay./api/createTiningnan ang mga talaksan ng GGF na may masamang pagkakagawa
  2. Ang paglihis at laki na ipinahayag sa talaksang GGF ay nakahihigit sa aktuwal na haba ng talaksan
  3. Ang server ay nagbabasa sa kabila pa ng inilaang liver ng memorya sa panahon ng quanipikasyon
  4. Ang nakuhang memory data ay maaaring maglaman ng sensitibong impormasyon
  5. Dumaan ang mga sumalakay./api/pushNagtatapos sa pag-download ng mga modelo na naglalaman ng tumatagas na datos upang makontrol ang mga anyo ng rehistro

Impact na Bersiyon

Apektadong bersiyon: Ollama < 0.17.1

Matatag na bersiyon: Ollama 0.17.1 at itaas

Mga kalagayan ng pagsalakay

  • Pagsang - ayon ng Seryor Bilang Tagapagsilbi OLLAMA_HOST=0.0.0.0(nakapatong sa web ng publiko)
  • Maaari itong makuha ng mga sumasalakay./api/createat/api/pushKasama
  • Ang serbisyo ng Ollama ay tumatakbo sa server.

Posibleng mga panganib

  • Pag - aalis ng sensitibong mga kaayusan sa mga pagbabago sa kapaligiran
  • Magnakaw ng mga susi ng API at access tokens
  • Kumuha ng mga Tip sa Sistema at Modelong Kondisyon
  • Basahin ang mga datos sa pag - uusap mula sa ibang gumagamit
  • Posibleng supply chain attack

Mga Mungkahi para sa rehabilitasyon

Mabilis na mga hakbang

  1. Nakatataas na Ollama: Umakyat sa Ollama 0.17.1 o mas mataas pa
  2. Limitadong akses: sa bandang huliOLLAMA_HOSTItinakda Bilang127.0.0.1Itago ito sa publiko.
  3. OrganisyonIba Pang Organiser
  4. Pagbukod ng Network: Limitadong daan patungo sa daungan ng Ollama sa pamamagitan ng firewall

Panghabang-term na proteksiyon

  • Regular na mga update ng Ollama sa pinakabagong matatag na bersyon
  • Pagkakapit ng simulain ng pinakakaunting kakayahan
  • Mapapasok ang mga troso at subaybayan ang seguridad
  • Regular na seguridad

Maingat na mga hakbang

Mga Mungkahi sa mga Negosyo

  1. Pagtaya sa Panganib: Tingnan kung ang apektadong bersiyon ng Ollama ay ginagamit nang panloob
  2. Sistemang Update: Pag - a - upgrade karaka - raka pagkatapos subukin ang pag - iral ng kapaligiran
  3. Matatag.: Pagpapatupad ng pagbubukod ng network at pagkontrol ng access
  4. Alisto ang seguridad.• Pagtatatag ng mga insidente ng seguridad na sumusubaybay at napapanahong mga mekanismo ng pagtugon

Mungkahi sa mga developer

  • Huwag ilantad ang Ollama API sa kapaligiran ng produksiyon
  • Magdagdag ng karagdagang layer ng seguridad na may reverse agent
  • Paminsan - minsang pagrerepaso at pag - update ng mga bagay na depende sa kalagayan
  • Pinakamabuting gawin sa pagsunod sa mga kodigong panseguridad

Mga reperensiya

Pangwakas na mga pangungusap

Ang pagsisiwalat ng loophong ito ay minsan pang nagpapaalaala sa atin ng kritikal na kahalagahan ng katiwasayan ng malaking bukas na pinagmumulang plataporma. Iminumungkahi na gumawa agad ng aksiyon ang mga negosyante at developer upang maka-upgrade sa isang ligtas na bersyon at ipatupad ang mga pag-iingat na pangkaligtasan.

Ligtas ito, ligtas ito!

Kaugnay na Pagbabasa

Para sa higit pang impormasyon tungkol sa seguridad ng AI, pakisuyong bigyang - pansin ang ating pampublikong numerong update.

Pananaliksik sa Seguridad ng AI