【재현 완료】Ollama 메모리 누수 취약점(CVE-2026-7482) 보안 위험 공지

최근 보안 연구자들이 Ollama 오픈소스 대규모 모델 추론 플랫폼에 존재하는 심각한 메모리 누수 취약점(CVE-2026-7482)을 공개했습니다. 해당 취약점은 특정 구성 환경에서 공격자가 서버 메모리에 저장된 환경 변수, API 키, 시스템 프롬프트, 동시 접속 사용자의 대화 데이터 등 민감한 정보를 읽을 수 있도록 합니다.

취약점은 Ollama의 GGUF 모델 로더에 존재하며, 정교하게 조작된 악성 GGUF 파일을 통해 공격자가 힙 범위 밖 읽기(heap out-of-bounds read)를 유발해 서버 메모리 데이터를 유출할 수 있습니다.

보안 취약점 개요

이 취약점이 특히 위험한 이유는 현재 세션의 데이터 유출뿐만 아니라 다른 동시 접속 사용자의 개인정보에도 영향을 미칠 수 있다는 점입니다. Ollama는 로컬 대규모 모델 추론 서비스로 널리 사용되고 있어 많은 기업과 개발자가 내부망 또는 공인망에 API 엔드포인트를 노출하고 있을 수 있으며, 이로 인해 해당 취약점은 상당한 잠재적 위협을 지닙니다.

CVE 번호 정보

CVE 번호: CVE-2026-7482
CWE 분류: CWE-125 – Out-of-bounds Read(범위 밖 읽기)
취약점 유형: 메모리 누수 / 힙 버퍼 오버플로
공개 출처: Echo security team

취약점 상세

취약점 원리

취약점은 Ollama의 GGUF 모델 로더에 위치하며, 구체적으로 다음 파일에 있습니다:

fs/ggml/gguf.go
server/quantization.go의WriteTo()함수

공격 흐름은 다음과 같습니다:

공격자가/api/create엔드포인트를 통해 악성으로 조작된 GGUF 파일을 업로드합니다
GGUF 파일에 선언된 텐서 오프셋과 크기가 실제 파일 길이를 초과합니다
서버가 양자화 과정에서 할당된 메모리 버퍼를 벗어난 내용을 읽습니다
유출된 메모리 데이터에는 민감한 정보가 포함되어 있을 수 있습니다
공격자가/api/push엔드포인트를 통해 유출된 데이터가 포함된 모델을 자신이 통제하는 레지스트리에 업로드합니다

영향 버전

영향받는 버전: Ollama < 0.17.1

안전 버전: Ollama 0.17.1 이상

공격 조건

서버가 다음과 같이 구성되어 있고 OLLAMA_HOST=0.0.0.0(공인망에 노출된 상태)
공격자가/api/create및/api/push엔드포인트에 접근할 수 있어야 합니다
서버에서 Ollama 서비스가 실행 중이어야 합니다

잠재적 피해

환경 변수에 담긴 민감한 설정 유출
API 키 및 접근 토큰 탈취
시스템 프롬프트 및 모델 설정 획득
다른 사용자의 대화 데이터 읽기
공급망 공격으로 이어질 가능성

수정 권고

즉각적인 조치

Ollama 업그레이드: 즉시 Ollama 0.17.1 이상 버전으로 업그레이드
접근 제한: 다음 항목을OLLAMA_HOST으로 설정하여127.0.0.1, 공인망에 노출되지 않도록 하세요
인증 추가: API 접근 인증 메커니즘 구성
네트워크 격리: 방화벽을 통해 Ollama 포트 접근 제한

장기 대책

Ollama를 최신 안정 버전으로 정기적으로 업데이트
최소 권한 원칙 적용
접근 로그 및 보안 모니터링 활성화
정기적인 보안 감사 실시

방어 조치

기업 대상 권고

위험 평가: 내부에서 영향받는 Ollama 버전을 사용하는지 확인
시스템 업데이트: 즉시 테스트 환경에서 검증한 후 업그레이드
보안 강화: 네트워크 격리 및 접근 통제 시행
모니터링 및 경보: 보안 이벤트 모니터링과 신속한 대응 체계 구축

개발자 대상 권고

프로덕션 환경에서 Ollama API 엔드포인트를 노출하지 마세요
리버스 프록시를 사용해 추가 보안 계층 확보
의존성 컴포넌트 정기 검토 및 업데이트
보안 코딩 모범 사례 준수

참고 링크

맺음말

이번 취약점 공개는 오픈소스 대규모 모델 플랫폼의 보안이 얼마나 중요한지 다시 한번 일깨워 줍니다. 기업과 개발자는 즉시 조치를 취해 안전 버전으로 업그레이드하고 각종 보안 대책을 실천할 것을 권장합니다.

보안에 사소한 일은 없습니다. 미리 대비하는 것이 최선입니다!