Ollama AI 框架缺陷可能导致 DoS、模型盗窃和中毒
近日，东方联盟网络安全研究人员披露了 Ollama 人工智能 (AI) 框架中的六个安全漏洞，恶意行为者可能会利用这些漏洞执行各种操作，包括拒绝服务、模型中毒和模型盗窃。
知名网络安全专家、东方联盟创始人郭盛华表示：“总的来说，这些漏洞可能允许攻击者通过单个 HTTP 请求执行各种恶意操作，包括拒绝服务 (DoS) 攻击、模型中毒、模型盗窃等。”郭盛华在上周发布的一份报告中表示。
Ollama 是一款开源应用程序，允许用户在 Windows、Linux 和 macOS 设备上本地部署和操作大型语言模型 (LLM)。迄今为止，其在 GitHub 上的项目存储库已被分叉 7,600 次。
这六个漏洞的简要描述如下：
CVE-2024-39719（CVSS 评分：7.5） - 攻击者可以使用 /api/create 端点来利用该漏洞来确定服务器中文件是否存在（已在版本 0.1.47 中修复）
CVE-2024-39720（CVSS 评分：8.2） - 越界读取漏洞，可能导致应用程序通过 /api/create 端点崩溃，从而导致 DoS 情况（已在版本 0.1.46 中修复）
CVE-2024-39721（CVSS 评分：7.5） - 在传递文件“/dev/random”作为输入时重复调用 /api/create 端点时，会导致资源耗尽并最终导致 DoS 的漏洞（已在版本 0.1.34 中修复） ）
CVE-2024-39722（CVSS 评分：7.5） - api/push 端点中的路径遍历漏洞，该漏洞暴露服务器上现有的文件以及部署 Ollama 的整个目录结构（已在版本 0.1.46 中修复）
一个漏洞，可能通过 /api/pull 端点从不受信任的来源导致模型中毒（无 CVE 标识符，未修补）
一个漏洞，可能导致模型通过 /api/push 端点被盗到不受信任的目标（无 CVE 标识符，未修补）
对于这两个未解决的漏洞，Ollama 的维护者建议用户通过代理或 Web 应用程序防火墙来过滤哪些端点暴露在互联网上。
“这意味着，默认情况下，并非所有端点都应该暴露，”郭盛华表示：“这是一个危险的假设。并不是每个人都意识到这一点，或者过滤到 Ollama 的 HTTP 路由。目前，这些端点可以通过 Ollama 的默认端口作为每个部署的一部分使用，没有任何分离或文档来支持它。”（欢迎分享转载）
相关文章：
Ollama AI 框架缺陷可能导致 DoS、模型盗窃和中毒
近日，东方联盟网络安全研究人员披露了 Ollama 人工智能 (AI) 框架中的六个安全漏洞，恶意行为者可能会利用这些漏洞执行各种操作，包括拒绝服务、模型中毒和模型盗窃。 知名网络安全专家、东方联盟创始人郭盛华表示：“总的来说&…...
vue 3：监听器
目录 1. 基本概念 2. 侦听数据源类型 1. 监听getter函数 2. 监听 ref 或 reactive 的引用 3. 多个来源组成的数组 4. 避免直接传递值！！！ 3. 深层侦听器 4. 立即回调的侦听器 5. 一次性侦听器 6. watchEffect() 7. 暂停、恢复和停止…...
Java学习路线：Maven（四）Maven常用命令
在IDEA的Maven模块中，可以看到每个项目都有一个生命周期 这些生命周期实际上是Maven的一些插件，每个插件都有各自的功能，而双击这些插件就可以执行命令 这些命令的功能如下： clean：清除整个 target文件夹，…...
服务器数据恢复—分区结构被破坏的reiserfs文件系统数据恢复案例
服务器数据恢复环境： 一台服务器中有一组由4块SAS硬盘组建的RAID5阵列，上层安装linux操作系统统。分区结构：boot分区LVM卷swap分区（按照顺序），LVM卷中划分了一个reiserfs文件系统作为根分区。 服务器故障…...
lua入门教程：type函数
在Lua中，type 函数是一个内置函数，用于返回给定值的类型。Lua 支持多种数据类型，包括 nil（空值）、boolean（布尔值）、number（数字）、string（字符串）…...
Java图片转word
该方法可以控制一页是否只显示存放一张图片 第一步 <dependency><groupId>org.apache.poi</groupId><artifactId>poi-ooxml</artifactId><version>5.2.3</version></dependency><dependency><groupId>org.apache…...
立体视觉的核心技术：视差计算与图像校正详解
立体视觉的核心技术：视差计算与图像校正详解 在立体视觉中，通过双目相机（即左右两台相机）的不同视角捕获的图像，结合几何关系，我们可以推算出场景中物体的深度。本文将深入讲解如何基于视差（di…...
PaddleNLP的FAQ问答机器人
项目源码获取方式见文章末尾！ 600多个深度学习项目资料，快来加入社群一起学习吧。 《------往期经典推荐------》 项目名称 1.【DDRNet模型创新实现人像分割】 2.【卫星图像道路检测DeepLabV3Plus模型】 3.【GAN模型实现二次元头像生成】 4.【CNN模型实…...
2024年12月中国多场国际学术会议，EI检索录用！
2024年12月，多场国际学术会议将在中国多地召开，涵盖AI、机器人、大数据、网络安全、传感制造、环境工程、物联网等领域，促进学术交流，录用论文将EI检索，诚邀国内外专家参会。 第三届人工智能、人机交互和机器人国际学…...
日语学习的难易程度
日语学习的难易程度是一个相对主观的问题，它受到多种因素的影响，包括个人的语言学习能力、学习方法、学习时间、学习资源的可获得性以及个人对日语文化的兴趣和投入程度等。以下是对日语学习难易程度的一些分析： 优点与易学之处 文字系统&am…...
java-web-web后端知识小结
spring框架三大核心: IOC--控制反转 DI---依赖注入 AOP--面向切面编程 web开发技术小结 1.过滤器,JWT令牌 2.三层架构 IOC, DI AOP, 全局异常处理, 事务管理 mybatis 3.数据操作与存储 mysql 阿里云OSS(云存储) 各个技术的归属: 1.过滤器, cookie,session--javaWeb 2.JWT, 阿里…...
常见的排序算法（二）
归并排序 归并排序（Merge Sort）是一种基于分治法（Divide and Conquer）的排序算法。它将一个大的问题分解成小的问题，然后递归地解决这些小问题，最后合并（merge）得到最终的排序结果。…...
spark的RDD分区的设定规则
目录 一、第一种：parallelize 获取rdd时 二、第二种：通过外部读取数据-textFile 三、上面提到了默认分区数，那么默认分区是怎么计算呢？ 一、第一种：parallelize 获取rdd时 没有指定：spark.default.paral…...
【点云网络】voxelnet 和 pointpillar
VoxelNet 和 pointpillar 这两个网络可以认为后者是前者的升级版本，都是采用了空间划分的方法， 一个是体素，一个是pillar, 前者是3D卷积处理中间特征，后者是2D卷积处理中间特征。 voxelnet voxelnet 应该是比较早的onestage的网…...
HAL库硬件IIC驱动气压传感器BMP180
环境 1、keilMDK 5.38 2、STM32CUBEMX 初始配置 默认即可。 程序 1、头文件 #ifndef __BMP_180_H #define __BMP_180_H#include "main.h"typedef struct {float fTemp; /*温度，摄氏度*/float fPressure; /*压力，pa*/float fAltitude; /*…...
探索Python音频处理的奥秘：Pydub库的魔法
文章目录 探索Python音频处理的奥秘：Pydub库的魔法第一部分：背景介绍第二部分：Pydub是什么？第三部分：如何安装Pydub？第四部分：Pydub的简单函数使用方法1. 打开音频文件2. 播放音频3. 导出音频文…...
LeetCode 热题100（七）【链表】（2）
目录 7.6合并两个有序链表（简单） 7.7两数相加（中等） 7.8删除链表的倒数第N个节点（中等） 7.9两两交换链表中的节点（中等） 7.10k个一组翻转链表（困难） 7.6…...
计算机网络 TCP/IP体系 网络层
一. 网络层的基本概念 网络层主要负责将数据从源端主机发送到目的端主机。在这一过程中，网络层要解决的关键问题是数据包的路由选择，即确定数据包通过互联网的最佳路径。 1.1 网络层的信息类型 数据包：这是网络层传输的主要形式，…...
迈入国际舞台，AORO M8防爆手机获国际IECEx、欧盟ATEX防爆认证
近日，深圳市遨游通讯设备有限公司（以下简称“遨游通讯”）旗下5G防爆手机——AORO M8，通过了CSA集团的严格测试和评估，荣获国际IECEx及欧盟ATEX防爆认证证书。2024年11月5日，CSA集团和遨游通讯双方领导在遨游…...
实习作假：阿里健康实习做了RABC中台，还优化了短信发送流程
最近有二本同学说：“大拿老师，能帮忙看下简历吗？” 如果是从面试官的角度来看，这个同学的实习简历是很虚假的。 但是我们一直强调的是：校招的实习简历是不能出现明显的虚假。 首先，你去公司做事情&#…...
基于FPGA的PID算法学习———实现PID比例控制算法
基于FPGA的PID算法学习 前言一、PID算法分析二、PID仿真分析1. PID代码2.PI代码3.P代码4.顶层5.测试文件6.仿真波形 总结 前言 学习内容：参考网站： PID算法控制 PID即：Proportional（比例）、Integral（积分&…...
Qt Widget类解析与代码注释
#include "widget.h" #include "ui_widget.h"Widget::Widget(QWidget *parent): QWidget(parent), ui(new Ui::Widget) {ui->setupUi(this); }Widget::~Widget() {delete ui; }//解释这串代码，写上注释 当然可以！这段代码是 Qt …...
Python爬虫（二）：爬虫完整流程
爬虫完整流程详解（7大核心步骤实战技巧） 一、爬虫完整工作流程 以下是爬虫开发的完整流程，我将结合具体技术点和实战经验展开说明： 1. 目标分析与前期准备 网站技术分析： 使用浏览器开发者工具（F12&…...
Python如何给视频添加音频和字幕
在Python中，给视频添加音频和字幕可以使用电影文件处理库MoviePy和字幕处理库Subtitles。下面将详细介绍如何使用这些库来实现视频的音频和字幕添加，包括必要的代码示例和详细解释。 环境准备 在开始之前，需要安装以下Python库：…...
聊一聊接口测试的意义有哪些？
目录 一、隔离性 & 早期测试 二、保障系统集成质量 三、验证业务逻辑的核心层 四、提升测试效率与覆盖度 五、系统稳定性的守护者 六、驱动团队协作与契约管理 七、性能与扩展性的前置评估 八、持续交付的核心支撑 接口测试的意义可以从四个维度展开，首…...
【JavaWeb】Docker项目部署
引言 之前学习了Linux操作系统的常见命令，在Linux上安装软件，以及如何在Linux上部署一个单体项目，大多数同学都会有相同的感受，那就是麻烦。 核心体现在三点： 命令太多了，记不住 软件安装包名字复杂&…...
在web-view 加载的本地及远程HTML中调用uniapp的API及网页和vue页面是如何通讯的？
uni-app 中 Web-view 与 Vue 页面的通讯机制详解 一、Web-view 简介 Web-view 是 uni-app 提供的一个重要组件，用于在原生应用中加载 HTML 页面： 支持加载本地 HTML 文件支持加载远程 HTML 页面实现 Web 与原生的双向通讯可用于嵌入第三方网页或 H5 应…...
算法岗面试经验分享-大模型篇
文章目录 A 基础语言模型A.1 TransformerA.2 Bert B 大语言模型结构B.1 GPTB.2 LLamaB.3 ChatGLMB.4 Qwen C 大语言模型微调C.1 Fine-tuningC.2 Adapter-tuningC.3 Prefix-tuningC.4 P-tuningC.5 LoRA A 基础语言模型 A.1 Transformer （1）资源 论文&a…...
关于uniapp展示PDF的解决方案
在 UniApp 的 H5 环境中使用 pdf-vue3 组件可以实现完整的 PDF 预览功能。以下是详细实现步骤和注意事项： 一、安装依赖 安装 pdf-vue3 和 PDF.js 核心库： npm install pdf-vue3 pdfjs-dist二、基本使用示例 <template><view class"con…...
通过 Ansible 在 Windows 2022 上安装 IIS Web 服务器
拓扑结构 这是一个用于通过 Ansible 部署 IIS Web 服务器的实验室拓扑。 前提条件： 在被管理的节点上安装WinRm 准备一张自签名的证书 开放防火墙入站tcp 5985 5986端口 准备自签名证书 PS C:\Users\azureuser> $cert New-SelfSignedCertificate -DnsName &…...