Русский

← Вернуться к списку

Утечка памяти в Ollama воспроизведена: CVE-2026-7482, высокий уровень опасности

itadol5j

Уязвимость утечки памяти в Ollama

🚨 Уязвимость утечки памяти в Ollama воспроизведена: CVE-2026-7482, высокий риск

Исследователи в области безопасностивоспроизвелиуязвимость утечки памяти Ollama (CVE-2026-7482) — этоheap out-of-bounds readуязвимость:

  • Затронутые версии: все версии Ollama до 0.17.1
  • Тип уязвимости: чтение за пределами границ кучи (CWE-125)
  • Вектор атаки: /api/create → загрузка GGUF → квантизация → утечка памяти → выгрузка через /api/push
  • Утекающие данные: переменные окружения, API-ключи, системные промпты, переписка пользователей
  • Отсутствие аутентификации: эндпоинты /api/create и /api/push не требуют аутентификации

🎯 Суть уязвимости

Уязвимость загрузчика GGUF-моделей

Уязвимость находится вGGUF model loader:

  • /api/createэндпоинт принимает предоставленный злоумышленником GGUF-файл
  • tensor offset и sizeпревышают фактическую длину файла
  • При квантизациипроисходит чтение за пределами выделенного буфера кучи
  • Расположение: fs/ggml/gguf.go и server/quantization.go (WriteTo())

Содержимое утечки памяти

Утёкшее содержимое памяти может включать:

Утекающие данные Риск
Переменные окружения могут содержать конфиденциальные настройки
API-ключи Высокий: раскрытие API-ключей
Системные промпты раскрытие внутренней конфигурации
Данные переписки одновременно работающих пользователей Высокий: утечка приватных данных

Канал выгрузки данных

Утёкшее содержимое памяти можно выгрузить через/api/pushэндпоинт:

  • Загрузка модели: загрузка итогового артефакта модели
  • Реестр злоумышленника: загрузка в реестр, контролируемый злоумышленником
  • Без аутентификации: в стандартной поставке эндпоинты не требуют аутентификации

⚠️ Уровень риска

Оценка CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N/AU:Y/R:A/V:D/RE:L/U:Red

Параметр Оценка Пояснение
Вектор атаки Сеть (AV:N) Атака возможна по сети
Сложность атаки Низкая (AC:L) Атака проста в исполнении
Требования к привилегиям Отсутствуют (PR:N) Аутентификация не требуется
Взаимодействие с пользователем Отсутствует (UI:N) Взаимодействие с пользователем не требуется
Влияние на конфиденциальность Высокое (VC:H) Высокое влияние на конфиденциальность
Влияние на доступность Высокое (VA:H) Высокое влияние на доступность

📊 Затронутые развёртывания

Конфигурация по умолчанию

Ollama по умолчанию привязывается127.0.0.1, но конфигурацияOLLAMA_HOST=0.0.0.0широко используется:

  • Привязка по умолчанию: 127.0.0.1 (локально)
  • Публичная доступность: OLLAMA_HOST=0.0.0.0 (широко используется)
  • Массовая открытость: зафиксировано большое количество серверов, открытых в публичный интернет

Сценарии высокого риска

Сценарий Риск
Ollama, открытая в публичный интернет Крайне высокий: прямая атака возможна сразу
Ollama, общая для нескольких пользователей Высокий: возможна утечка переписки других пользователей
Содержит чувствительные API-ключи Высокий: утечка API-ключей
Локальное развёртывание Средний: требуется локальный доступ

🔧 Меры снижения риска

Вариант 1: обновление до 0.17.1+ (рекомендуется)

# 升级 Ollama
# macOS
brew upgrade ollama

# Linux
curl -fsSL https://ollama.com/install.sh | sh

Содержание исправления: патч устраняет проблему чтения за пределами границ в GGUF loader.

Вариант 2: ограничение сетевой доступности

# 不要使用 0.0.0.0 绑定
# 保持默认 127.0.0.1
OLLAMA_HOST=127.0.0.1

Вариант 3: ограничения межсетевого экрана

# 限制 /api/create 和 /api/push 端点访问
# 只允许可信来源

Вариант 4: мониторинг подозрительных GGUF-файлов

  • Проверка GGUF-файлов: проверяйте, насколько разумны tensor offset и size
  • Мониторинг /api/create: журналируйте источники загружаемых GGUF-файлов
  • Мониторинг /api/push: журналируйте целевые реестры выгрузки

🚀 Статус воспроизведения

Воспроизведено: исследователи в области безопасности успешно воспроизвели эту уязвимость:

  • Условия воспроизведения: Ollama < 0.17.1
  • Вектор атаки: загрузка вредоносного GGUF → запуск квантизации → утечка памяти
  • Подтверждение утечки: успешно утекли переменные окружения и данные переписки
  • Подтверждение выгрузки: данные успешно выгружены через /api/push

📅 Информация о патче

Информация Ссылка
Версия с исправлением v0.17.1
Коммит с патчем 88d57d0483
PR #14406

📝 Итоги

Уязвимость утечки памяти Ollama CVE-2026-7482воспроизведена:

  • Затрагивает все версии Ollama до 0.17.1
  • Чтение за пределами границ кучи, CWE-125
  • Утечка: переменные окружения, API-ключи, системные промпты, переписка пользователей
  • Канал выгрузки: загрузка через /api/push в реестр злоумышленника
  • Эндпоинты без аутентификации: /api/create и /api/push
  • Риск публичной доступности: OLLAMA_HOST=0.0.0.0 широко используется
  • Снижение риска: обновление до 0.17.1+ или ограничение сетевой доступности

Опасная уязвимость воспроизведена — срочно обновитесь или ограничьте доступность сервиса.

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-7482

Версия с исправлением:https://github.com/ollama/ollama/releases/tag/v0.17.1