CVE-2025-63389

Ollama w wersjach od 0.14.0 do przed 0.31.2 zawiera podatność nieprawidłowej autoryzacji w mechanizmie zatwierdzania poleceń Bash w eksperymentalnym trybie agenta. Mechanizm niepoprawnie parsuje składnię powłoki, co pozwala atakującym, którzy mogą wpływać na dane wyjściowe modelu przez wstrzyknięcie promptu, na wykonywanie dodatkowych poleceń powłoki przez dodanie operatorów kontrolnych, takich jak średniki lub operatory logiczne, do zatwierdzonych poleceń, omijając wymóg zatwierdzenia sesji.

Ollama jest podatny na path traversal w endpointcie /api/pull z powodu niewystarczającej walidacji digestów warstw przez funkcję digestToPath. Nieuwierzytelniony zdalny atakujący może podać sekwencję path traversal jako digest warstwy, co powoduje zapis złośliwego pliku poza katalogiem modeli. Jeśli proces serwera ma prawo zapisu do /usr/lib/ollama (domyślnie w obrazach Docker), atakujący może zapisać złośliwy plik, który zostanie wykonany przy restarcie serwera, co prowadzi do zdalnego wykonania kodu jako root. Problem naprawiono w wersji 0.35.0.

W Ollama w wersji do 0.34.1 wykryto podatność w funkcji IsValid w pliku types/model/name.go komponentu Pull API. Manipulacja prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Podatność w Ollama do wersji 0.31.1 dotyczy funkcji readGGUFV1String w pliku fs/ggml/gguf.go (komponent GGUF Decoder). Manipulacja prowadzi do przepełnienia liczby całkowitej. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Wersja 0.31.2-rc1 zawiera poprawkę.

Ollama nie weryfikuje miejsc docelowych przekierowań podczas pobierania modeli warstw tensorowych, co pozwala nieuwierzytelnionym atakującym przekierowywać pobieranie blobów do dowolnych hostów. Atakujący może kontrolować rejestr, serwować złośliwy manifest warstwy tensorowej i spowodować, że serwer wyśle żądania GET do wewnętrznych hostów, w tym do punktów końcowych metadanych chmury.

Ollama (HEAD f0078ae) zawiera podatność na niekontrolowaną alokację pamięci w parserze metadanych GGUF. Zdalny atakujący może przesłać spreparowany plik GGUF o rozmiarze poniżej 1 KB przez API blob upload i model create/pull, co powoduje nieodwracalny błąd krytyczny Go runtime (out-of-memory) lub panikę makeslice, omijającą middleware odzyskiwania i crashujący cały serwer.

Podatność w funkcji downloadBlob w Ollama umożliwia zdalnemu atakującemu wywołanie stanu odmowy usługi (DoS) bez wymaganego uwierzytelnienia. Problem wynika z braku walidacji danych użytkownika, co prowadzi do odczytu poza granicami zaalokowanej tablicy.

Nieuwierzytelniony atakujący zdalnie może odczytać i wyeksfiltrować pamięć sterty serwera Ollama poprzez silnik kwantyzacji modeli, co prowadzi do ujawnienia poufnych danych.

Ollama do wersji 0.18.1 zawiera podatność na SSRF (Server-Side Request Forgery) w komponencie Model Pull API (plik server/download.go). Atakujący może zdalnie manipulować żądaniem, co prowadzi do wysłania żądań do wewnętrznych zasobów.

Ollama w wersjach od 0.11.5-rc0 do 0.13.5 zawiera podatność na wyłuskanie wskaźnika null w funkcji przetwarzania obrazów modeli multimodalnych. Podczas obsługi danych obrazu zakodowanych w base64 przez endpoint /api/chat, aplikacja nie sprawdza, czy zdekodowane dane są prawidłowym nośnikiem przed przekazaniem ich do funkcji mtmd_helper_bitmap_init_from_buf. Funkcja ta może zwrócić NULL dla nieprawidłowych danych wejściowych, ale kod nie sprawdza tej wartości przed wyłuskaniem wskaźnika w kolejnych operacjach.