本仓库包含针对 CVE-2026-7482 的 1-Day 概念验证（PoC）利用链，该漏洞是 Ollama GGUF 模型加载器（0.17.1 之前的版本）中一个未经身份验证的越界（OOB）读取漏洞。
注意： 这是一次 1-Day 研究复现。我并非原始 CVE 的发现者。本 PoC 是基于公开公告细节构建的，旨在演示该漏洞的机制，用于教育和防御性研究目的。
通过向 /api/create 端点提交一个恶意构造的截断 GGUF 文件，攻击者可以强制 fs/ggml/gguf.go 和 server/quantization.go 中的量化解析器读取超出已分配堆缓冲区的范围。随后，泄露的内存通过 /api/push 端点将生成的模型工件推送到攻击者控制的 Docker 注册表来实现外传。
在这次 1-Day 研究中，复现崩溃非常简单，但要在不导致服务器崩溃或触发 API 验证拦截的情况下实现稳定的外传，则需要特定的架构伪造：
F16（general.file_type = 1），以满足 Ollama API 严格的事前检查。Q4_K_M 降量化。由于载荷被视为 F16，C++ 后端被迫处理该载荷，而不是执行安全的 1:1 内存复制。ggmltoken_embd.weight）必须被塑形为二维矩阵，其中最内层维度恰好为 256（例如，[num_rows, 256]）。这严格符合 Q4_K_M 块要求，防止后端跳过该层。pip install requests numpy gguf
你还需要一个可公开访问的 HTTP 监听器（如 Ngrok）来捕获外传的 Docker 层推送。
1. 启动恶意注册表 启动监听器以捕获泄露的内存块。
sudo python3 registry.py
2. 伪造恶意载荷
生成截断的 GGUF 文件。你可以调整脚本中的 TARGET_LEAK_SIZE_MB 来控制每次请求抓取的堆内存量。（推荐：0.5MB 至 2.0MB，以避免对未映射页面触发段错误）。
python3 forge.py
3. 触发漏洞利用
编辑 exploit.py，填入你的目标 IP 和恶意注册表 URL，然后执行：
python3 exploit.py
4. 分析工件
注册表会将泄露的堆转储文件放入 exfils/ 目录中。
关于数据完整性的说明（量化陷阱）： 虽然该漏洞利用能够成功捕获并外传多达数兆字节的服务器堆内存，但数据在越界读取期间会经过 Ollama 的 Q4_K_M 降量化算法处理。后端将原始内存字节转换为 float16，并应用有损的 4 位块压缩方案。因此，泄露的内存会在数学上被破坏。标准的 ASCII 提取工具将产生二进制垃圾数据，使得通过这种特定强制路径恢复明文凭据实际上不可行。
本项目仅用于教育和授权漏洞研究目的。请勿将此工具用于你不拥有或未经明确许可进行测试的系统。