[단독분석] 분석 — CVE-2026-15685

• 심각도 high · CVSS 7.5 · EPSS 0.00391 · 악용난이도 moderate

• 원격 공격자는 인증 없이 downloadBlob API에 조작된 인덱스 값을 전달합니다.
• 입력값 검증이 부재해 배열 경계를 초과하는 메모리 접근이 발생하고, 서비스 프로세스가 비정상 종료됩니다.
• 이 과정은 단일 요청으로 완료되며 추가적인 권한 상승 단계는 없습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크를 통해 인증 없이 바로 접근할 수 있음을 의미하므로, 실제 전제조건은 해당 서비스가 외부에 노출된 HTTP API(예: /api/downloadBlob)만 열려 있으면 됩니다.
downloadBlob 함수의 입력 파라미터(예: blob ID 또는 오프셋)를 조작해 배열 인덱스를 검증하지 않음으로써 메모리 접근 오류를 일으키면, 프로세스가 비정상 종료되어 서비스 전체가 중단되는 Denial‑of‑Service가 발생합니다.
공격 복잡도는 “Low”로 평가되며, 별도의 사용자 상호작용이 필요 없고 인증도 요구되지 않기 때문에 기술적으로는 비교적 쉬운 편입니다.
다만 EPSS = 0.00391(≈0.39 %)이라는 실측 확률과 KEV에 등재되지 않은 점은 현재까지 야생 악용 사례가 거의 관측되지 않았음을 보여줍니다.
따라서 이 취약점은 “moderate” 등급이 유지되지만, 실제 위협 수준은 아직 낮은 편이며, 공격자는 서비스가 공개된 환경에서만 간단한 HTTP 요청으로 조건을 충족시킬 수 있습니다.
공격 표면은 해당 엔드포인트와 파라미터, 그리고 사용되는 HTTP 프로토콜에 국한되므로, 이 경로가 차단되지 않는 한 원격 공격이 가능하다는 점을 유념하시기 바랍니다.
요약하면, 네트워크 접근성·인증 부재·저복잡도라는 전제조건은 충족하지만 현재 관측된 악용 빈도가 낮아 실제 위험도는 제한적이라고 판단됩니다.

• 기술적 위험: 성공 시 Ollama 서버가 강제 종료되어 서비스 가용성이 중단됩니다(DoS). 메모리 손상으로 인한 데이터 무결성 훼손 가능성은 현재 보고되지 않았습니다.
• 비즈니스 리스크:
  • 가용성 손실 → 사용자 요청 처리 지연·중단, SLA 위반 위험.
  • 규제/컴플라이언스 측면에서는 서비스 중단이 직접적인 위반 요소가 되지는 않으나, 연속된 장애는 고객 신뢰도 저하를 초래할 수 있습니다.
• 영향 제품·노출 규모: 취약점은 Ollama 전체 설치에 존재하며, 네트워크 접근이 가능한 모든 인스턴스가 대상입니다. 다중 소스에서 일관성이 확인됐으며([교차검증]), 인증 요구가 없으므로 내부·외부 모두 위협 표면이 됩니다.

• 동일한 배열 인덱스 검증 부재 패턴은 다른 파일 다운로드 혹은 스트리밍 API에서도 발견될 수 있으나, 현재 확인된 연계 CVE는 없습니다.
• 향후 메모리 손상 기반 코드 실행(예: RCE)과 결합될 경우 위험도가 상승할 가능성이 있습니다.

• Ollama 로그에 비정상적인 SIGSEGV·SIGABRT 메시지 또는 “out‑of‑bounds” 오류가 기록되는지 모니터링합니다.
• 서비스 프로세스 종료/재시작 이벤트와 함께 네트워크 트래픽에서 downloadBlob 요청이 비정상적으로 높은 빈도로 발생하는지 확인하십시오.

• 즉시 조치:
  • 해당 취약점에 대한 공급자 패치를 적용합니다. (패치가 없을 경우) downloadBlob 엔드포인트를 방화벽 등 네트워크 레벨에서 차단하거나, 신뢰된 IP만 허용하도록 제한합니다.
  • 서비스 자동 재시작 메커니즘(예: systemd Restart=on-failure)을 설정해 가용성 손실 시간을 최소화합니다.
• 근본 해결:
  • 입력값에 대한 경계 검증 로직을 추가하고, 컴파일 시 ASLR·스택 보호와 같은 메모리 안전 기능을 활성화합니다.
  • 정기적인 보안 업데이트와 취약점 스캐닝으로 유사한 배열 인덱스 검증 오류를 사전에 차단합니다.

우선순위 판단 근거: CVSS 7.5(High)·EPSS 0.00391(중간 위험)·비 KEV 상태이며, 규칙 기반 “scheduled (이번 주 내)” 우선순위가 적용되었습니다([우선순위 결정]). EPSS 수치는 현재 악용 가능성이 낮지만 존재함을 의미하므로, 빠른 패치와 방어 조치가 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00391 · exploit=moderate · in_scope=None