【Zreprodukowane】Ostrzeżenie o ryzyku bezpieczeństwa: luka wycieku pamięci w Ollama (CVE-2026-7482)

Badacze bezpieczeństwa ujawnili niedawno poważną lukę wycieku pamięci (CVE-2026-7482) obecną w otwartej platformie inferencyjnej dla dużych modeli Ollama. W określonej konfiguracji luka pozwala atakującemu odczytać z pamięci serwera informacje wrażliwe, w tym zmienne środowiskowe, klucze API, prompty systemowe oraz dane konwersacji innych użytkowników korzystających z usługi równolegle.

Luka znajduje się w loaderze modeli GGUF w Ollama — za pomocą starannie spreparowanego, złośliwego pliku GGUF atakujący może wywołać odczyt poza zakresem sterty (heap out-of-bounds read), a następnie doprowadzić do wycieku danych z pamięci serwera.

Krótki opis luki

Szczególnie niebezpieczne w tej luce jest to, że może ona prowadzić nie tylko do wycieku danych z bieżącej sesji, ale również do naruszenia prywatności innych, równoległych użytkowników. Ponieważ Ollama jest powszechnie wykorzystywana do lokalnej inferencji dużych modeli, wiele firm i deweloperów mogło wystawić endpointy API w sieci wewnętrznej lub publicznej, co czyni tę lukę zagrożeniem o wysokim potencjale.

Informacje o identyfikatorze CVE

Numer CVE: CVE-2026-7482
Klasyfikacja CWE: CWE-125 – Out-of-bounds Read (odczyt poza zakresem pamięci)
Typ luki: wyciek pamięci / przepełnienie bufora sterty
Źródło ujawnienia: Echo security team

Szczegóły luki

Zasada działania luki

Luka znajduje się w loaderze modeli GGUF w Ollama, konkretnie w następujących plikach:

fs/ggml/gguf.go
server/quantization.go — funkcja WriteTo() w tym pliku

Przebieg ataku wygląda następująco:

Atakujący za pomocą /api/createendpointu przesyła złośliwie spreparowany plik GGUF
Offsety i rozmiary tensorów zadeklarowane w pliku GGUF przekraczają rzeczywistą długość pliku
Serwer podczas procesu kwantyzacji odczytuje zawartość spoza przydzielonego bufora pamięci
Wyciekające dane z pamięci mogą zawierać informacje wrażliwe
Atakujący za pomocą /api/pushendpointu przesyła model zawierający wyciekłe dane do kontrolowanego przez siebie rejestru

Dotknięte wersje

Wersje podatne: Ollama < 0.17.1

Wersja bezpieczna: Ollama 0.17.1 i nowsze

Warunki ataku

Serwer skonfigurowany z ustawieniem OLLAMA_HOST=0.0.0.0 (widoczny w sieci publicznej)
Atakujący ma dostęp do /api/create i /api/push endpointów
Na serwerze działa usługa Ollama

Potencjalne szkody

Wyciek wrażliwej konfiguracji ze zmiennych środowiskowych
Kradzież kluczy API i tokenów dostępowych
Pozyskanie promptów systemowych i konfiguracji modelu
Odczyt danych konwersacji innych użytkowników
Możliwość przeprowadzenia ataku na łańcuch dostaw

Zalecenia naprawcze

Działania natychmiastowe

Aktualizacja Ollama: natychmiast zaktualizuj do wersji Ollama 0.17.1 lub nowszej
Ograniczenie dostępu: ustaw zmienną OLLAMA_HOST na wartość 127.0.0.1, aby uniknąć ekspozycji w sieci publicznej
Dodanie uwierzytelniania: skonfiguruj mechanizm uwierzytelniania dla dostępu do API
Izolacja sieciowa: ogranicz dostęp do portu Ollama za pomocą zapory sieciowej

Ochrona długofalowa

Regularnie aktualizuj Ollama do najnowszej wersji stabilnej
Stosuj zasadę najmniejszych uprawnień
Włącz logowanie dostępu i monitorowanie bezpieczeństwa
Regularnie przeprowadzaj audyty bezpieczeństwa

Środki ochrony

Zalecenia dla firm

Ocena ryzyka: sprawdź, czy w infrastrukturze wewnętrznej używane są podatne wersje Ollama
Aktualizacja systemów: zaktualizuj niezwłocznie po weryfikacji w środowisku testowym
Utwardzanie bezpieczeństwa: wdroż izolację sieciową oraz kontrolę dostępu
Monitorowanie i alertowanie: skonfiguruj monitorowanie incydentów bezpieczeństwa i mechanizm szybkiego reagowania

Zalecenia dla deweloperów

Nie wystawiaj endpointów API Ollama w środowisku produkcyjnym
Używaj reverse proxy, aby dodać dodatkową warstwę zabezpieczeń
Regularnie przeglądaj i aktualizuj komponenty zależne
Stosuj najlepsze praktyki bezpiecznego tworzenia oprogramowania

Linki referencyjne

Podsumowanie

Ujawnienie tej luki po raz kolejny przypomina nam, że bezpieczeństwo otwartych platform dla dużych modeli ma znaczenie kluczowe. Zalecamy firmom i deweloperom natychmiastowe działanie: aktualizację do bezpiecznej wersji oraz wdrożenie wszystkich wymienionych środków ochrony.

W kwestiach bezpieczeństwa nie ma drobiazgów — lepiej zapobiegać, niż naprawiać!

Lektura uzupełniająca

Więcej wiadomości o bezpieczeństwie AI znajdziesz, śledząc nasze aktualizacje na WeChat.