Ollama là dịch vụ đóng gói (packaging), triển khai, chạy cục bộ các mô hình ngôn ngữ lớn (LLM) trên các thiết bị Windows, Linux và macOS.

Lỗ hổng có định danh là CVE-2024-37032, lỗ hổng này được công ty bảo mật đám mây Wiz đặt tên là Probllama. Về cốt lõi, vấn đề liên quan đến trường hợp kiểm tra, sàng lọc dữ liệu đầu vào không đầy đủ dẫn đến lỗ hổng path traversal, cho phép kẻ tấn công khai thác để ghi đè tùy ý lên các tệp trên máy chủ và cuối cùng dẫn đến RCE.

Lỗ hổng yêu cầu tác nhân đe dọa gửi các yêu cầu HTTP độc hại đến máy chủ API Ollama để khai thác thành công. Nó lạm dụng API "/api/pull" – được sử dụng để tải xuống mô hình từ cơ quan đăng ký chính thức hoặc từ kho lưu trữ riêng – để cung cấp một tệp manifest mô hình độc hại chứa payload (tệp/đoạn mã/dữ liệu độc hại) path traversal trong trường ‘digest’.

Vấn đề này có thể bị lạm dụng không chỉ để làm hỏng các tệp tùy ý trên hệ thống mà còn để thực thi mã từ xa bằng cách ghi đè tệp cấu hình ("etc/ld.so.preload") liên quan đến trình liên kết động ("ld.so") để bao gồm một thư viện chia sẻ độc hại và khởi chạy nó mỗi khi thực thi bất kỳ chương trình nào.

Mặc dù nguy cơ thực thi mã từ xa giảm đáng kể trong cài đặt Linux mặc định do máy chủ API kết nối đến localhost, nhưng điều này không đúng với các trường hợp triển khai docker, trong đó máy chủ API cho phép truy cập công khai.

Nhà nghiên cứu bảo mật Sagi Tzadik cho biết : “Vấn đề này cực kỳ nghiêm trọng trong quá trình cài đặt Docker, vì máy chủ chạy với quyền “root” và lắng nghe “0.0.0.0” theo mặc định – cho phép khai thác lỗ hổng này từ xa” .

Vấn đề phức tạp hơn nữa là việc thiếu xác thực cố hữu liên quan đến Ollama, do đó cho phép kẻ tấn công khai thác máy chủ có thể truy cập công khai để đánh cắp hoặc giả mạo các mô hình AI và xâm phạm các máy chủ suy luận AI tự lưu trữ.

Điều này cũng yêu cầu các dịch vụ đó phải được bảo mật bằng phần mềm trung gian như reverse proxy có xác thực. Wiz cho biết họ đã xác định được hơn 1.000 trường hợp Ollama công khai trên internet đang lưu trữ nhiều mô hình AI mà không có bất kỳ biện pháp bảo vệ nào.

Sự phát triển này diễn ra khi công ty bảo mật Protect AI cảnh báo về hơn 60 lỗ hổng bảo mật ảnh hưởng đến nhiều công cụ AI/ML nguồn mở khác nhau, bao gồm các vấn đề nghiêm trọng có thể dẫn đến tiết lộ thông tin, truy cập trái phép vào các tài nguyên bị hạn chế, leo thang đặc quyền và kiểm soát hoàn toàn hệ thống.

Nghiêm trọng nhất trong số này là lỗ hổng CVE-2024-22476 (điểm CVSS 10.0), một lỗi SQL injection trong phần mềm Intel Neural Compressor có thể cho phép kẻ tấn công tải xuống các tệp tùy ý từ hệ thống máy chủ. Nó đã được giải quyết trong phiên bản 2.5.0.