‏Bleeding Llama: نشت حافظه بحرانی در Ollama

Ollama یه پلتفرم اوپن‌سورس محبوبه که بهت اجازه می‌ده مدل‌های زبانی بزرگ (LLM) مثل Llama و Mistral رو مستقیماً روی سخت‌افزار خودت اجرا کنی، بدون اینکه به سرویس‌های ابری مثل OpenAI وابسته باشی. با بیش از ۱۷۰ هزار ستاره گیت‌هاب و ۱۰۰ میلیون دانلود روی Docker Hub، Ollama به استاندارد اجرای مدل‌های اوپن‌سورس تبدیل شده.

آسیب‌پذیری کشف‌شده با شناسه CVE-2026-7482 و امتیاز CVSS 9.1 (بحرانی) دسته‌بندی می‌شه. این باگ به یه مهاجم غیرمجاز اجازه می‌ده حافظه کامل پروسه Ollama رو استخراج کنه — یعنی می‌تونه به پیام‌های کاربران، سیستم پرامپت‌ها و متغیرهای محیطی دسترسی پیدا کنه. تخمین زده می‌شه حدود ۳۰۰ هزار سرور در جهان تحت تأثیر این مشکل باشن.

ریشه باگ در نحوه پردازش فایل‌های GGUF هنگام ساخت مدل از طریق endpoint مربوط به /api/create هست. GGUF یه فرمت فایله که مدل‌های زبانی رو به‌صورت تنسور (آرایه‌های چندبعدی اعداد) ذخیره می‌کنه. کاربر می‌تونه یه فایل GGUF آپلود کنه و با مشخص کردن پارامتر quantize، از Ollama بخواد فرمت داده‌های مدل رو تغییر بده — مثلاً از F16 به F32 یا برعکس.

Quantization فرآیند تبدیل دقت اعداد داخل تنسورهاست. مثلاً F32 هر عدد رو با ۴ بایت ذخیره می‌کنه و F16 با ۲ بایت. Ollama برای بهینه‌سازی، همیشه داده‌ها رو ابتدا به F32 تبدیل می‌کنه و بعد به فرمت مقصد می‌بره. تابع WriteTo این تبدیل رو انجام می‌ده.

مشکل اصلی دقیقاً داخل همین تابع WriteTo هست. Go معمولاً یه زبان memory-safe محسوب می‌شه، اما Ollama در این قسمت از پکیج unsafe استفاده می‌کنه که تمام ضمانت‌های امنیتی زبان رو کنار می‌ذاره. یه مهاجم می‌تونه با ارسال یه فایل GGUF دستکاری‌شده که ابعاد یا آفست تنسورهاش اشتباه تنظیم شده، باعث بشه Ollama داده‌هایی فراتر از محدوده واقعی فایل رو از حافظه بخونه و اون‌ها رو در فایل GGUF خروجی بنویسه — و به این شکل محتوای حافظه فرآیند لو می‌ره.

نکات کلیدی:

• آسیب‌پذیری با شناسه CVE-2026-7482 و امتیاز CVSS 9.1 در Ollama کشف شده
• مهاجم بدون نیاز به احراز هویت می‌تونه کل حافظه پروسه Ollama رو استخراج کنه
• اطلاعات فاش‌شده شامل پیام‌های کاربران، سیستم پرامپت‌ها و متغیرهای محیطی می‌شه
• ریشه مشکل استفاده از پکیج unsafe در Go و پردازش ناامن فایل‌های GGUF هنگام quantization هست
• حدود ۳۰۰ هزار سرور در سراسر دنیا در معرض این آسیب‌پذیری قرار دارن