【漏洞预警】Ollama< 0.1.34 远程代码执行漏洞 CVE-2024-37032

漏洞描述:

Ollama是用于快速启动llama等开源大模型的运行环境,服务默认监听本地11434端口,受影响版本中,由于server/modelpath.go代码中未对用户可控的digest参数进行限制,/api/pull及/api/push接口存在路径穿越漏洞。攻击者可通过/api/pull接口拉取包含恶意内容和digest参数(如：../../)的模型,从而写入任意文件,通过写入/etc/ld.so.preload 文件可执行任意代码,攻击者可通过/api/push接口上传恶意模型,读取任意文件。

影响范围:

github.com/ollama/ollama@(-∞, 0.1.34)

修复方案:
将组件github.com/ollama/ollama升级至0.1.34及以上版本

参考链接：
https://github.com/ollama/ollama/commit/2a21363bb756a7341d3d577f098583865bd7603f

https://github.com/advisories/GHSA-8hqg-whrw-pv92

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Ollama< 0.1.34 远程代码执行漏洞 CVE-2024-37032