🇰🇷 한글 설명
Ollama 0.3.14 이하 버전에서 api/create 경로를 통해 파일 존재 여부가 노출되는 취약점이 발견되었습니다. 공격자가 존재하지 않는 경로를 매개변수로 전달할 경우, 서버가 'File does not exist'라는 오류 메시지를 반환하여 서버 내 특정 파일의 존재 여부를 확인할 수 있습니다.
💡 쉬운 설명
해커가 서버에 특정 파일이 있는지 없는지 몰래 알아낼 수 있는 취약점입니다. 파일이 있는지 없는지에 대한 답변을 서버가 직접 알려주기 때문에 발생합니다.
🇺🇸 원문 (English)
An issue was discovered in Ollama through 0.3.14. File existence disclosure can occur via api/create. When calling the CreateModel route with a path parameter that does not exist, it reflects the "File does not exist" error message to the attacker, providing a primitive for file existence on the server.
📍 영향받는 시스템
Ollama 0.3.14 및 그 이전 버전
⚔️ 공격 벡터
api/create 엔드포인트에 존재하지 않는 파일 경로를 포함한 요청을 전송하여 오류 메시지 확인
🛡️ 대응 방법
Ollama를 최신 버전으로 업데이트하여 해당 취약점이 해결된 버전을 사용하십시오.
🔧 검증 코드
출력된 버전이 0.3.14 이하이면 취약한 상태이며, 0.3.15 이상이면 안전합니다.