Vulnerabilidad en Ollama (CVE-2024-39720)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-125 Lectura fuera de límites

Fecha de publicación:

31/10/2024

Última modificación:

13/05/2025

Descripción

Se descubrió un problema en Ollama antes de la versión 0.1.46. Un atacante puede usar dos solicitudes HTTP para cargar un archivo GGUF malformado que contenga solo 4 bytes comenzando con el encabezado mágico personalizado GGUF. Al aprovechar un Modelfile personalizado que incluye una declaración FROM que apunta al archivo blob controlado por el atacante, el atacante puede bloquear la aplicación a través de la ruta CreateModel, lo que genera una segmentation fault (señal SIGSEGV: segmentation violation).

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto