ローカルLLMの脆弱性があるんか？〜CVE-2024-50050から学ぶ「自分だけで使ってるから安全」の落とし穴〜

# 脆弱なコード（概念的な再現）
# recv_pyobj()は内部でpickle.loads()を呼ぶ
data = socket.recv_pyobj()  # ← ネットワークから受信したデータを無検証でデシリアライズ

# 修正後（v0.0.41以降）
# Pydantic JSONによる型安全な実装に置き換え
data = receive_and_validate(socket)  # ← JSON + 型検証

あなたのローカルLLM利用形態は？
│
├─ A. 完全ローカル（localhost限定、外部接続なし）
│   └─ リスクレベル: ★★☆☆☆（中〜低）
│      ※ ただしモデルの入手元次第でサプライチェーン攻撃のリスクあり
│
├─ B. ローカルネットワークに公開（社内LAN、家庭内LAN）
│   └─ リスクレベル: ★★★☆☆（中）
│      ※ DNS Rebinding攻撃の対象になりうる
│
├─ C. インターネットに公開（ポート開放、リバースプロキシ等）
│   └─ リスクレベル: ★★★★★（極めて高）
│      ※ 全カテゴリの脆弱性に晒される
│
└─ D. Docker等でコンテナデプロイ
    └─ リスクレベル: ★★★★☆（高）
       ※ Dockerのデフォルト設定はAPIを公開する

# 1. Ollamaを最新版にアップデート
# Windows
winget upgrade Ollama.Ollama

# macOS
brew upgrade ollama

# Linux
curl -fsSL https://ollama.com/install.sh | sh

# 2. バインドアドレスがlocalhostであることを確認
echo $OLLAMA_HOST
# 何も表示されないか、"127.0.0.1" なら OK
# "0.0.0.0" ならすぐに修正が必要

# 3. モデルは信頼できるソースからのみ取得
# NG: 見知らぬユーザーのリポジトリからダウンロード
ollama pull random-user/suspicious-model  # ← 危険

# OK: 公式またはverifiedなモデルを使用
ollama pull llama3.2                      # ← 安全
ollama pull mistral                        # ← 安全

# ファイアウォールで11434ポートを制限（Linux）
sudo ufw allow from 192.168.1.0/24 to any port 11434
sudo ufw deny 11434

# ファイアウォールで11434ポートを制限（Windows）
New-NetFireWallRule -DisplayName 'Ollama - Allow LAN' `
  -Direction Inbound -LocalPort 11434 `
  -RemoteAddress 192.168.1.0/24 -Action Allow -Protocol TCP

New-NetFireWallRule -DisplayName 'Ollama - Block External' `
  -Direction Inbound -LocalPort 11434 `
  -Action Block -Protocol TCP

# /etc/nginx/sites-available/ollama.conf
server {
    listen 443 ssl http2;
    server_name your-domain.com;

    # TLS設定
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    # Basic認証
    auth_basic "Ollama Service";
    auth_basic_user_file /etc/nginx/.htpasswd;

    # リバースプロキシ
    location / {
        proxy_pass http://127.0.0.1:11434;
        proxy_set_header Host localhost:11434;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 管理系APIへのアクセスを制限
    location ~ ^/api/(push|pull|delete|create|copy) {
        deny all;
        return 403;
    }
}

# config.development.env - 開発環境（個人利用・最小構成）
OLLAMA_HOST=127.0.0.1:11434
OLLAMA_ORIGINS=http://localhost:3000,http://localhost:8080
OLLAMA_MODELS=/home/user/.ollama/models
OLLAMA_DEBUG=true
# セキュリティ: localhostのみ、CORS制限あり

# config.staging.env - ステージング環境（チーム内共有）
OLLAMA_HOST=192.168.1.100:11434
OLLAMA_ORIGINS=http://192.168.1.0/24
OLLAMA_MODELS=/srv/ollama/models
OLLAMA_DEBUG=false
OLLAMA_KEEP_ALIVE=5m
# セキュリティ: LAN限定、ファイアウォール必須

# config.production.env - 本番環境（リバースプロキシ経由）
OLLAMA_HOST=127.0.0.1:11434
OLLAMA_ORIGINS=https://your-domain.com
OLLAMA_MODELS=/srv/ollama/models
OLLAMA_DEBUG=false
OLLAMA_KEEP_ALIVE=10m
OLLAMA_MAX_LOADED_MODELS=2
# セキュリティ: localhost限定 + Nginx認証 + TLS必須
# 直接外部に公開しないこと

#!/usr/bin/env python3
"""
ローカルLLMセキュリティ診断スクリプト
実行方法: python check_llm_security.py
"""

import subprocess
import socket
import json
import sys
import os
from pathlib import Path


def check_section(title: str):
    """セクションヘッダーを表示"""
    print(f"\n{'='*60}")
    print(f"  {title}")
    print(f"{'='*60}")


def check_ollama_binding():
    """Ollamaのバインドアドレスを確認"""
    issues = []

    # 環境変数チェック
    ollama_host = os.environ.get("OLLAMA_HOST", "")
    if ollama_host:
        if "0.0.0.0" in ollama_host:
            issues.append(
                "CRITICAL: OLLAMA_HOST が 0.0.0.0 に設定されています。"
                "全ネットワークインターフェースに公開されます。"
            )
        elif "127.0.0.1" in ollama_host or "localhost" in ollama_host:
            print("  [OK] OLLAMA_HOST はlocalhostにバインドされています")
        else:
            issues.append(
                f"WARNING: OLLAMA_HOST が {ollama_host} に設定されています。"
                "意図した設定か確認してください。"
            )
    else:
        print("  [OK] OLLAMA_HOST 未設定（デフォルト: 127.0.0.1）")

    # ポート開放チェック
    try:
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(2)
        result = sock.connect_ex(("0.0.0.0", 11434))
        sock.close()
        if result == 0:
            issues.append(
                "WARNING: ポート11434が0.0.0.0でリッスンしている可能性があります"
            )
    except Exception:
        pass

    return issues


def check_ollama_version():
    """Ollamaのバージョンを確認"""
    issues = []
    try:
        result = subprocess.run(
            ["ollama", "--version"],
            capture_output=True, text=True, timeout=5
        )
        version_str = result.stdout.strip()
        print(f"  Ollamaバージョン: {version_str}")

        # バージョン番号を抽出（簡易チェック）
        if "0.1." in version_str:
            minor = version_str.split("0.1.")[1].split(".")[0] if "0.1." in version_str else "0"
            try:
                if int(minor.split()[0]) < 46:
                    issues.append(
                        "CRITICAL: Ollama 0.1.46未満は既知の脆弱性があります。"
                        "すぐにアップデートしてください。"
                    )
            except ValueError:
                pass
    except FileNotFoundError:
        print("  [INFO] Ollamaはインストールされていません")
    except Exception as e:
        print(f"  [INFO] Ollamaバージョン確認をスキップ: {e}")

    return issues


def check_docker_exposure():
    """Docker環境でのOllama公開状態を確認"""
    issues = []
    try:
        result = subprocess.run(
            ["docker", "ps", "--format", "{{.Ports}} {{.Image}}"],
            capture_output=True, text=True, timeout=10
        )
        for line in result.stdout.strip().split("\n"):
            if "ollama" in line.lower() and "0.0.0.0" in line:
                issues.append(
                    f"CRITICAL: Dockerコンテナが外部に公開されています: {line.strip()}"
                )
    except FileNotFoundError:
        print("  [INFO] Dockerはインストールされていません")
    except Exception:
        pass

    return issues


def check_model_sources():
    """ダウンロード済みモデルの確認"""
    issues = []
    ollama_dir = Path.home() / ".ollama" / "models" / "manifests"

    if ollama_dir.exists():
        registries = list(ollama_dir.iterdir())
        for registry in registries:
            if registry.is_dir():
                print(f"  モデルレジストリ: {registry.name}")
                if registry.name != "registry.ollama.ai":
                    issues.append(
                        f"WARNING: 非公式レジストリからのモデルがあります: {registry.name}"
                    )
    else:
        print("  [INFO] Ollamaモデルディレクトリが見つかりません")

    return issues


def check_open_webui():
    """Open WebUIの状態を確認"""
    issues = []
    try:
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(2)
        result = sock.connect_ex(("127.0.0.1", 8080))
        sock.close()
        if result == 0:
            print("  [INFO] Open WebUIがポート8080で動作中")
            issues.append(
                "INFO: Open WebUI検出。v0.6.35以上であることを確認してください"
                "（CVE-2025-64496対策）"
            )
    except Exception:
        pass

    return issues


def main():
    """メイン診断処理"""
    print("=" * 60)
    print("  ローカルLLMセキュリティ診断ツール v1.0")
    print("=" * 60)

    all_issues = []

    check_section("1. Ollamaバージョン確認")
    all_issues.extend(check_ollama_version())

    check_section("2. ネットワークバインド確認")
    all_issues.extend(check_ollama_binding())

    check_section("3. Docker公開状態確認")
    all_issues.extend(check_docker_exposure())

    check_section("4. モデルソース確認")
    all_issues.extend(check_model_sources())

    check_section("5. Open WebUI確認")
    all_issues.extend(check_open_webui())

    # 結果サマリー
    check_section("診断結果サマリー")
    critical = [i for i in all_issues if i.startswith("CRITICAL")]
    warnings = [i for i in all_issues if i.startswith("WARNING")]
    infos = [i for i in all_issues if i.startswith("INFO")]

    if critical:
        print(f"\n  CRITICAL: {len(critical)}件")
        for issue in critical:
            print(f"    [!] {issue}")

    if warnings:
        print(f"\n  WARNING: {len(warnings)}件")
        for issue in warnings:
            print(f"    [!] {issue}")

    if infos:
        print(f"\n  INFO: {len(infos)}件")
        for issue in infos:
            print(f"    [i] {issue}")

    if not all_issues:
        print("\n  [OK] 重大な問題は検出されませんでした")
        print("  ただし、モデルの入手元には常に注意してください")
    else:
        print(f"\n  合計: {len(all_issues)}件の検出事項")

    return 1 if critical else 0


if __name__ == "__main__":
    sys.exit(main())

# docker-compose.yml - セキュアなOllamaデプロイ設定
version: '3.8'
services:
  ollama:
    image: ollama/ollama:latest
    # localhostのみにバインド（これが最重要）
    ports:
      - "127.0.0.1:11434:11434"
    volumes:
      - ollama_data:/root/.ollama
    environment:
      - OLLAMA_HOST=0.0.0.0:11434  # コンテナ内部は0.0.0.0でOK
      - OLLAMA_KEEP_ALIVE=5m
    deploy:
      resources:
        reservations:
          devices:
            - driver: nvidia
              count: all
              capabilities: [gpu]
    restart: unless-stopped

  # Open WebUIを使う場合（オプション）
  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    ports:
      - "127.0.0.1:8080:8080"  # こちらもlocalhost限定
    volumes:
      - webui_data:/app/backend/data
    environment:
      - OLLAMA_BASE_URL=http://ollama:11434
    depends_on:
      - ollama
    restart: unless-stopped

volumes:
  ollama_data:
  webui_data:

# Ollamaが最新か確認
ollama --version

# バインドアドレス確認（Linuxの場合）
ss -tlnp | grep 11434
# "127.0.0.1:11434" と表示されればOK
# "0.0.0.0:11434" と表示されたら要修正

# Windowsの場合
netstat -an | findstr 11434

# /etc/nginx/sites-available/ollama-internal.conf
server {
    listen 443 ssl;
    server_name ollama.internal.company.com;

    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;

    # アクセスログ（監査用）
    access_log /var/log/nginx/ollama_access.log combined;

    # Basic認証
    auth_basic "AI Service";
    auth_basic_user_file /etc/nginx/.htpasswd_ollama;

    # 推論APIのみ許可
    location /api/generate {
        proxy_pass http://127.0.0.1:11434;
    }
    location /api/chat {
        proxy_pass http://127.0.0.1:11434;
    }

    # 管理APIはブロック
    location / {
        return 403 "Access denied";
    }
}

"""
AI開発プロジェクトのセキュリティチェック
"""
import importlib.metadata
import sys


# 脆弱なバージョンの定義
VULNERABLE_PACKAGES = {
    "llama-stack": {
        "fixed": "0.0.41",
        "cve": "CVE-2024-50050",
    },
    "llama-cpp-python": {
        "fixed": "0.2.72",
        "cve": "CVE-2024-34359",
    },
    "vllm": {
        "fixed": "0.11.1",
        "cve": "CVE-2025-66448, CVE-2025-62164",
    },
    "open-webui": {
        "fixed": "0.6.35",
        "cve": "CVE-2025-64496",
    },
}


def check_package_versions():
    """インストール済みパッケージの脆弱性チェック"""
    print("パッケージセキュリティチェック")
    print("-" * 50)
    found_issues = False

    for pkg_name, info in VULNERABLE_PACKAGES.items():
        try:
            version = importlib.metadata.version(pkg_name)
            # 簡易バージョン比較
            if version < info["fixed"]:
                print(f"  [!] {pkg_name} {version}")
                print(f"      脆弱性: {info['cve']}")
                print(f"      修正版: {info['fixed']}以上にアップデートしてください")
                found_issues = True
            else:
                print(f"  [OK] {pkg_name} {version} (修正済み)")
        except importlib.metadata.PackageNotFoundError:
            pass  # 未インストールならスキップ

    if not found_issues:
        print("  脆弱なパッケージは検出されませんでした")


if __name__ == "__main__":
    check_package_versions()