CVE-2024-39720

Nome do software vulnerável e versões afetadas:

Versões do Ollama anteriores à 0.1.46

Descrição:

O problema está relacionado a uma vulnerabilidade de leitura fora dos limites. Ela pode ser explorada por um invasor remoto para causar uma negação de serviço (falha de segmentação) usando um arquivo especialmente criado. Um invasor pode enviar um arquivo GGUF malformado e utilizar um Modelfile personalizado para travar o aplicativo através da rota CreateModel, levando a uma falha de segmentação. A vulnerabilidade pode ser acionada através do endpoint “/api/create”.

Recomendações:

Para versões anteriores à 0.1.46, atualize para a versão 0.1.46 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/create” para minimizar o risco de exploração. Evite usar a rota CreateModel com entradas não confiáveis até que o problema seja resolvido.