🇰🇷 한글 설명
Ollama Windows는 다운로드된 업데이트 실행파일의 무결성과 진본성을 검증하지 않으며, 검증 루틴이 항상 성공을 반환하여 디지털 서명 확인이 전혀 수행되지 않는다. 자동 업데이트 기능으로 인해 사용자 인식 없이 악의적인 페이로드가 자동 설치되고 실행될 수 있다.
💡 쉬운 설명
Ollama Windows가 자동으로 설치하는 업데이트를 검증하지 않아 가짜 프로그램이 몰래 설치될 수 있다. 사용자가 모르는 사이에 악성 소프트웨어가 컴퓨터에서 실행될 위험이 있다.
🇺🇸 원문 (English)
Ollama for Windows does not perform integrity or authenticity verification of downloaded update executables. Unlike other platforms, the Windows implementation of the update verification routine unconditionally returns success so no digital signature or trust validation is performed before staging or executing update payloads, enabling attacker‑supplied executables to be accepted and later executed by the application.
Critically, Ollama for Windows performs silent automatic updates, so the malicious payload may be installed automatically without user awareness.
Maintainers of this project were notified early about this vulnerability, but didn't respond with the details of vulnerability or vulnerable version range. Versions from 0.12.10 to 0.17.5 were tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.
📍 영향받는 시스템
Ollama for Windows v0.12.10 ~ v0.17.5 (테스트 확인 버전, 기타 버전도 취약할 가능성)
⚔️ 공격 벡터
공격자가 업데이트 배포 채널에 악의적 실행파일을 주입하면 사용자 개입 없이 자동으로 설치·실행됨
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 신뢰할 수 있는 공식 채널에서만 설치하고 자동 업데이트 비활성화 검토
🔧 검증 코드
출력된 버전 번호가 0.12.10 이상 0.17.5 이하면 취약, 그 외 버전이거나 명령어 실패 시 영향 없음
ollama --version 2>/dev/null | head -1