Ollama 安全漏洞修复报告

Ollama安全漏洞修复报告

一、漏洞概述

       近期，国家信息安全漏洞共享平台（CNVD）及多家安全机构报告了Ollama存在的多个安全漏洞，主要包括未授权访问漏洞、路径遍历代码执行漏洞、越界读取漏洞以及信息泄露漏洞等。这些漏洞可能导致未经授权的攻击者远程访问Ollama服务接口，执行敏感资产获取、虚假信息投喂、拒绝服务等恶意操作，对用户的数据安全、算力安全和服务稳定性构成严重威胁。

二、漏洞详情

  1. 未授权访问漏洞

      • 漏洞编号：CNVD-2025-04094等

      • 影响范围：Ollama所有版本（未设置访问认证的情况下）

      • 漏洞描述：由于Ollama默认未设置身份验证和访问控制功能，未经授权的攻击者可在远程条件下调用Ollama服务接口，执行恶意操作。

  2. 路径遍历代码执行漏洞

      • 漏洞编号：CVE-2024-37032

      • 影响范围：Ollama < 0.1.34

      • 漏洞描述：在获取模型时，由于对digest字段缺乏适当验证，攻击者可提供包含路径遍历payload的恶意清单文件，实现任意文件读取/写入或远程代码执行。

  3. 越界读取漏洞

      • 漏洞编号：CVE-2024-39720等

      • 影响范围：Ollama版本 <= 0.1.45

      • 漏洞描述：攻击者可通过特定HTTP请求上传特制文件，导致应用程序崩溃并引发拒绝服务攻击。

  4. 信息泄露漏洞

&