Descripción original
Ollama before 0.1.34 does not validate the format of the digest (sha256 with 64 hex digits) when getting the model path, and thus mishandles the TestGetBlobsPath test cases such as fewer than 64 hex digits, more than 64 hex digits, or an initial ../ substring.
Software afectado
- Ollama *< 0.1.34 Corregido en: 0.1.34 coincidencia por repositorio o paquete
Detalles
- Publicación
- 2024-05-31
- Última modificación
- 2026-06-17
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- CWE
- CWE-22
Referencias
- cve.org/CVE-2024-37032
- nvd.nist.gov/vuln/detail/CVE-2024-37032
- github.com/ollama/ollama/blob/adeb40eaf29039b8964425f69a9315f9f1694ba8/server/modelpath_te...
- github.com/ollama/ollama/compare/v0.1.33...v0.1.34
- github.com/ollama/ollama/pull/4175
- www.vicarius.io/vsociety/posts/probllama-in-ollama-a-tale-of-a-yet-another-rce-vulnerabili...
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.
Este producto utiliza datos de la API del NVD, pero no está avalado ni certificado por el NVD. CVE® es una marca registrada de The MITRE Corporation; los registros CVE se utilizan conforme a los Términos de uso del CVE Program.