CVE-2024-45436

Versões do Ollama anteriores à 0.1.47

A vulnerabilidade está relacionada à função extractFromZipFile() no arquivo model.go do sistema Ollama, utilizada para iniciar e gerenciar grandes modelos de linguagem (LLM). Essa função possui uma restrição incorreta no nome do caminho do diretório com acesso limitado. A exploração desse problema pode permitir que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas. A função extractFromZipFile pode extrair arquivos de um arquivo ZIP para fora do diretório pai.

Para versões anteriores à 0.1.47, atualize para a versão 0.1.47 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso à função extractFromZipFile em model.go até que um patch esteja disponível. Evite usar a função extractFromZipFile para extrair membros de um arquivo ZIP fora do diretório pai até que a vulnerabilidade seja resolvida.