一、 漏洞 CVE-2024-45436 基础信息
漏洞信息
# N/A
## 漏洞概述
在Ollama版本0.1.47之前的model.go文件中的extractFromZipFile函数存在漏洞，允许从ZIP存档中提取成员到父目录之外的位置。
## 影响版本
- 版本：0.1.47 之前的所有版本
## 漏洞细节
extractFromZipFile函数未能正确限制ZIP文件成员的提取路径，从而可能允许攻击者将文件提取到任意目录，包括父目录之外的位置。
## 影响
该漏洞可能导致未授权的文件写入或覆盖系统关键文件，进而可能引发进一步的安全问题，如权限提升或系统功能失效。
神龙判断
是否为 Web 类漏洞： 是
判断理由：
是。这个漏洞允许攻击者通过特制的ZIP文件在服务器上执行路径遍历攻击，从而将文件解压到服务器的任意目录中，可能导致敏感信息泄漏或进一步的攻击。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
extractFromZipFile in model.go in Ollama before 0.1.47 can extract members of a ZIP archive outside of the parent directory.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Ollama 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Ollama是Ollama开源的一个可以在本地启动并运行的大型语言模型。 Ollama 0.1.47之前版本存在安全漏洞，该漏洞源于extractFromZipFile函数可以提取父目录之外的ZIP存档成员。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-45436 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | CVE-2024-45436 | https://github.com/pankass/CVE-2024-45436 | POC详情 |
| 2 | None | https://github.com/XiaomingX/CVE-2024-45436-exp | POC详情 |
| 3 | This repository contains an exploit demonstration for CVE-2024-45436, a critical vulnerability affecting specific software versions. It highlights the exploitation mechanism and provides insights for security researchers to understand and mitigate the risk. | https://github.com/XiaomingX/cve-2024-45436-exp | POC详情 |
| 4 | exploit script for CVE-2024-45436 | https://github.com/srcx404/CVE-2024-45436 | POC详情 |
| 5 | None | https://github.com/Threekiii/Awesome-POC/blob/master/%E4%BA%BA%E5%B7%A5%E6%99%BA%E8%83%BD%E6%BC%8F%E6%B4%9E/Ollama%20extractFromZipFile%20%E7%9B%AE%E5%BD%95%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%20CVE-2024-45436.md | POC详情 |
三、漏洞 CVE-2024-45436 的情报信息
标题： Comparing v0.1.46...v0.1.47 · ollama/ollama · GitHub -- 🔗来源链接
标签：
标题： zip: prevent extracting files into parent dirs by mxyng · Pull Request #5314 · ollama/ollama · GitHub -- 🔗来源链接
标签：
神龙速读：从这个网页截图中，我们可以获取到以下关于漏洞的关键信息： 1. **漏洞编号**：CVE-2024-45436 2. **漏洞描述**：潜在的Go漏洞在github.com/ollama/ollama中。 3. **漏洞链接**：golang/vulndb#3104 4. **漏洞状态**：已公开（Open） 这些信息表明，这个漏洞已经被公开，并且有一个相关的Go漏洞数据库链接。
- https://nvd.nist.gov/vuln/detail/CVE-2024-45436
四、漏洞 CVE-2024-45436 的评论
暂无评论