🇰🇷 한글 설명
Ollama의 GGUF 메타데이터 파서에서 제어되지 않은 메모리 할당 취약점이 발견되었습니다. 공격자가 조작된 GGUF 파일을 업로드하면 서버가 유효성 검사 없이 과도한 메모리를 할당하려 시도하여 프로세스가 충돌하고 서비스가 중단될 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 파일을 올리면 컴퓨터의 메모리를 순식간에 다 써버리게 만들어 프로그램을 강제로 종료시키는 공격입니다. 이를 통해 서버를 마비시키고 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
Ollama (HEAD f0078ae) contains an uncontrolled memory allocation vulnerability in the GGUF metadata parser that allows remote attackers to crash the server by supplying a crafted GGUF file with attacker-controlled length and count fields in string lengths, tensor dimension counts, and metadata array counts that are used as allocation sizes without validation against remaining file size. Attackers can upload a sub-1KB crafted GGUF file via the blob upload and model create or pull API endpoints to trigger unrecoverable Go runtime out-of-memory fatal errors or makeslice panics that bypass recovery middleware and crash the entire server process.
📍 영향받는 시스템
Ollama (HEAD f0078ae 버전 포함)
⚔️ 공격 벡터
blob 업로드 또는 model create/pull API를 통해 조작된 GGUF 파일 전송
🛡️ 대응 방법
Ollama를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 최신 버전인지 확인하십시오.