打开网易新闻 查看精彩图片

大家好，我是 Ai 学习的老章

Ollama 是咱们公众号的常客

今天又得给老朋友补一刀，因为 Ollama 这次摊上的事儿不小——一个 CVSS 9.1 的高危漏洞，已被 Cyera 安全研究员命名为 Bleeding Llama，编号 CVE-2026-7482

简介

事情起源于 The Hacker News 的一篇披露文章，Cyera 研究员 Dor Attias 在 Ollama 的 GGUF 模型加载器里挖出了一个堆越界读取（heap out-of-bounds read）漏洞

按照 cve.org 的官方描述：

❝ Ollama before 0.17.1 contains a heap out-of-bounds read vulnerability in the GGUF model loader The /api/create endpoint accepts an attacker-supplied GGUF file in which the declared tensor offset and size exceed the file's actual length

翻译过来就是：0.17.1 之前的所有版本，只要 /api/create 接口暴露在网上，攻击者上传一个恶意构造的 GGUF 文件就能把服务器进程内存读个底朝天

问题代码位置也很明确：

  • fs/ggml/gguf.go

  • server/quantization.go 里的 WriteTo() 函数

根源在于 Ollama 在量化时用了 Go 的 unsafe 包绕过内存安全检查，再加上没校验 tensor offset 和 size 是否超过文件实际大小，结果就是越界读 heap

攻击链

下图是 Cyera 给出的 API 调用示意：

Bleeding Llama 攻击链
打开网易新闻 查看精彩图片
Bleeding Llama 攻击链

整个攻击链就三步：

  1. 上传 ：把构造好的 GGUF 文件（把 tensor shape 设成一个超大的数）通过 HTTP POST 丢到网络可达的 Ollama 服务器

  2. 触发 ：调用 /api/create 让 Ollama 开始建模型，越界读发生在量化阶段

  3. 外泄 ：用 /api/push 把读到的内存当作"模型 artifact"推送到攻击者控制的 registry

读到的内容包括什么？Cyera 列得很清楚：环境变量、API keys、system prompts、其他并发用户的对话数据

Dor Attias 还提了一个特别扎心的场景：很多工程师把 Ollama 接到 Claude Code 上当本地推理后端，那么所有工具调用的输入输出都会经过 Ollama 进程的 heap，一旦被读，整个研发现场都漏给攻击者了

影响面

The Hacker News 援引 Cyera 数据：全球暴露在公网的 Ollama 服务器超过 300,000 台

Ollama 在 GitHub 上现在是 171,000+ stars、16,100+ forks，体量摆在这儿，公网暴露面是真大

怎么办

官方修复版本是 0.17.1，发布说明在这： https://github.com/ollama/ollama/releases/tag/v0.17.1

按 The Hacker News 的建议，最起码做这几件事：

  1. 立刻升级到 0.17.1 或更新

  2. 不要把 Ollama 直接暴露公网 ，至少塞防火墙后面

  3. 审计现有实例 有没有意外开放到外网

  4. 加一道认证代理或 API 网关 ，因为 Ollama 默认是没鉴权的——这才是问题的根

  5. 审计已经在用的实例日志 ，看有没有可疑的 /api/create 、 /api/push 请求

总结

之前我就提过几次 Ollama 的安全隐患，主要槽点是默认没鉴权，谁连上谁就能用，这次的 Bleeding Llama 把"没鉴权"的代价具象化了——不是别人多耗你点 GPU，而是把你机器上跑过的所有秘密都拿走

如果你只在本机 127.0.0.1 跑 Ollama，问题不大；只要 OLLAMA_HOST 绑过 0.0.0.0 或暴露给团队/公网，就抓紧升级

制作不易，如果这篇文章觉得对你有用，可否点个关注。给我个三连击：点赞、转发和在看。若可以再给我加个，谢谢你看我的文章，我们下篇再见！