Ollama 曝高危漏洞，請立即升級

大家好，我是 Ai 學(xué)習(xí)的老章

Ollama 是咱們公眾號的?？?/p>

今天又得給老朋友補一刀，因為 Ollama 這次攤上的事兒不小——一個 CVSS 9.1 的高危漏洞，已被 Cyera 安全研究員命名為 Bleeding Llama，編號 CVE-2026-7482

簡介

事情起源于 The Hacker News 的一篇披露文章，Cyera 研究員 Dor Attias 在 Ollama 的 GGUF 模型加載器里挖出了一個堆越界讀?。╤eap out-of-bounds read）漏洞

按照 cve.org 的官方描述：

? Ollama before 0.17.1 contains a heap out-of-bounds read vulnerability in the GGUF model loader The /api/create endpoint accepts an attacker-supplied GGUF file in which the declared tensor offset and size exceed the file's actual length

翻譯過來就是：0.17.1 之前的所有版本，只要 /api/create 接口暴露在網(wǎng)上，攻擊者上傳一個惡意構(gòu)造的 GGUF 文件就能把服務(wù)器進程內(nèi)存讀個底朝天

問題代碼位置也很明確：

• fs/ggml/gguf.go

• server/quantization.go 里的 WriteTo() 函數(shù)

根源在于 Ollama 在量化時用了 Go 的 unsafe 包繞過內(nèi)存安全檢查，再加上沒校驗 tensor offset 和 size 是否超過文件實際大小，結(jié)果就是越界讀 heap

攻擊鏈

下圖是 Cyera 給出的 API 調(diào)用示意：

Bleeding Llama 攻擊鏈

整個攻擊鏈就三步：

1. 上傳 ：把構(gòu)造好的 GGUF 文件（把 tensor shape 設(shè)成一個超大的數(shù)）通過 HTTP POST 丟到網(wǎng)絡(luò)可達(dá)的 Ollama 服務(wù)器

2. 觸發(fā) ：調(diào)用 /api/create 讓 Ollama 開始建模型，越界讀發(fā)生在量化階段

3. 外泄 ：用 /api/push 把讀到的內(nèi)存當(dāng)作"模型 artifact"推送到攻擊者控制的 registry

讀到的內(nèi)容包括什么？Cyera 列得很清楚：環(huán)境變量、API keys、system prompts、其他并發(fā)用戶的對話數(shù)據(jù)

Dor Attias 還提了一個特別扎心的場景：很多工程師把 Ollama 接到 Claude Code 上當(dāng)本地推理后端，那么所有工具調(diào)用的輸入輸出都會經(jīng)過 Ollama 進程的 heap，一旦被讀，整個研發(fā)現(xiàn)場都漏給攻擊者了

影響面

The Hacker News 援引 Cyera 數(shù)據(jù)：全球暴露在公網(wǎng)的 Ollama 服務(wù)器超過 300,000 臺

Ollama 在 GitHub 上現(xiàn)在是 171,000+ stars、16,100+ forks，體量擺在這兒，公網(wǎng)暴露面是真大

怎么辦

官方修復(fù)版本是 0.17.1，發(fā)布說明在這： https://github.com/ollama/ollama/releases/tag/v0.17.1

按 The Hacker News 的建議，最起碼做這幾件事：

1. 立刻升級到 0.17.1 或更新

2. 不要把 Ollama 直接暴露公網(wǎng) ，至少塞防火墻后面

3. 審計現(xiàn)有實例 有沒有意外開放到外網(wǎng)

4. 加一道認(rèn)證代理或 API 網(wǎng)關(guān) ，因為 Ollama 默認(rèn)是沒鑒權(quán)的——這才是問題的根

5. 審計已經(jīng)在用的實例日志 ，看有沒有可疑的 /api/create 、 /api/push 請求

之前我就提過幾次 Ollama 的安全隱患，主要槽點是默認(rèn)沒鑒權(quán)，誰連上誰就能用，這次的 Bleeding Llama 把"沒鑒權(quán)"的代價具象化了——不是別人多耗你點 GPU，而是把你機器上跑過的所有秘密都拿走

如果你只在本機 127.0.0.1 跑 Ollama，問題不大；只要 OLLAMA_HOST 綁過 0.0.0.0 或暴露給團隊/公網(wǎng)，就抓緊升級

制作不易，如果這篇文章覺得對你有用，可否點個關(guān)注。給我個三連擊：點贊、轉(zhuǎn)發(fā)和在看。若可以再給我加個，謝謝你看我的文章，我們下篇再見！