🇰🇷 한글 설명
Ollama 0.34.1 이하 버전의 Pull API 내 IsValid 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 원격에서 이를 조작하여 서버에 악의적인 요청을 보낼 수 있습니다. 해당 문제는 0.34.2 버전으로 업그레이드하여 해결할 수 있습니다.
💡 쉬운 설명
해커가 Ollama 서버를 조종하여 서버가 직접 공격자가 원하는 곳으로 데이터를 보내게 만들 수 있는 결함입니다. 이 문제를 막으려면 프로그램을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
A vulnerability has been found in Ollama up to 0.34.1. The affected element is the function IsValid of the file types/model/name.go of the component Pull API. The manipulation leads to server-side request forgery. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.34.2 is sufficient to fix this issue. The identifier of the patch is dfabde4539e42ba1e1eab50a3a50b88aea7958a0. It is suggested to upgrade the affected component.
📍 영향받는 시스템
Ollama 0.34.1 및 그 이전 버전
⚔️ 공격 벡터
원격에서 Pull API의 모델 이름 매개변수를 조작하여 SSRF 공격 수행
🛡️ 대응 방법
Ollama를 0.34.2 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 0.34.1 이하인 경우 취약한 상태이므로 업데이트가 필요합니다.
ollama --version | grep -E '0\.(3[4-5])\.'