Une vulnérabilité maintenant corrigée dans Ollama, un projet open source populaire pour exécuter des LLMs, peut entraîner une exécution de code à distance, selon les chercheurs de failles qui ont averti que plus de 1 000 instances vulnérables restent exposées sur internet. Wiz Research a divulgué la faille, identifiée sous le CVE-2024-37032 et surnommée Probllama, le 5 mai et ses mainteneurs ont corrigé le problème dans la version 0.1.34 qui a été publiée via GitHub un jour après. Ollama est utile pour effectuer des inférences avec des réseaux neuronaux compatibles — tels que la famille Llama de Meta, d’où le nom ; le clan Phi de Microsoft ; et des modèles de Mistral — et peut être utilisé en ligne de commande ou via une API REST. Il bénéficie de centaines de milliers de téléchargements mensuels sur Docker Hub. Dans un rapport publié aujourd’hui, Sagi Tzadik de l’équipe de chasse aux bugs de Wiz a indiqué que la vulnérabilité est due à une validation insuffisante côté serveur de l’API REST fournie par Ollama. Un attaquant pourrait exploiter la faille en envoyant une requête HTTP spécialement conçue au serveur API d’Ollama — et dans les installations Docker, au moins, le serveur API est exposé publiquement. Le serveur Ollama fournit plusieurs points de terminaison d’API qui exécutent des fonctions de base. Cela inclut le point de terminaison d’API /api/pull qui permet aux utilisateurs de télécharger des modèles depuis le registre Ollama ainsi que des registres privés. Comme l’ont découvert les chercheurs, le processus pour déclencher le téléchargement d’un modèle était exploitable, permettant aux malfaiteurs de potentiellement compromettre l’environnement hébergeant un serveur Ollama vulnérable.
Donnez vie à vos histoires avec Epidemic Sound
Dans le monde numérique d’aujourd’hui, le contenu visuel est roi. Mais qu’est-ce qui transforme une bonne vidéo en une expérience
