🇰🇷 한글 설명
Ollama 0.18.1 버전 이하의 Model Pull API 구성 요소 내 file server/download.go 처리 과정에서 결함이 발견되었습니다. 공격자가 이를 조작할 경우 원격에서 서버 측 요청 위조(SSRF) 공격을 수행할 수 있습니다. 벤더 측에 해당 사실을 알렸으나 아직 응답을 받지 못한 상태입니다.
💡 쉬운 설명
Ollama 프로그램의 모델 다운로드 기능에 허점이 있어, 해커가 서버를 조종해 엉뚱한 곳으로 요청을 보내게 만들 수 있습니다. 멀리 떨어진 곳에서도 공격이 가능하므로 주의가 필요합니다.
🇺🇸 원문 (English)
A flaw has been found in Ollama up to 0.18.1. This issue affects some unknown processing of the file server/download.go of the component Model Pull API. Executing a manipulation can lead to server-side request forgery. The attack can be launched remotely. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
Ollama 0.18.1 및 그 이전 버전
⚔️ 공격 벡터
원격에서 Model Pull API의 파일 서버 다운로드 로직을 조작하여 SSRF 공격 수행
🛡️ 대응 방법
Ollama를 최신 버전으로 업데이트하거나, 해당 API에 대한 접근 제어를 강화하십시오.
🔧 검증 코드
출력된 버전 번호가 0.18.1 이하인지 확인하여 취약 여부를 판단합니다.
ollama --version 2>/dev/null | grep -E '0\.[0-9]{2}\.[0-9]{1}'