标签 API安全 下的文章

0x01 组件简介

近期由于Deepseek爆火，大部分企业和个人都开始部署AI。Ollama是一个本地私有化部署大语言模型（LLM，如DeepSeek等）的运行环境和平台，简化了大语言模型在本地的部署、运行和管理过程,具有简化部署、轻量级可扩展、API支持、跨平台等特点，在AI领域得到了较为广泛的应用。

fofa语法：app="Ollama"

0x02 漏洞描述

近日，Ollama存在安全漏洞，该漏洞源于默认未设置身份验证和访问控制功能，未经授权的攻击者可在远程条件下调用Ollama服务接口，执行包括但不限于敏感模型资产窃取、虚假信息投喂、模型计算资源滥用和拒绝服务、系统配置篡改和扩大利用等恶意操作。

0x03 影响版本

Ollama所有版本均受此漏洞影响。

0x04 漏洞验证

随机找一个靶机看看
出现Ollama is running，即证明存在未授权访问的漏洞

574X249/image.png

漏洞验证

通过查看Ollama api文档，Ollama提供了多个API 端点，用于执行不同的操作

详细情况查看：https://ollama.cadn.net.cn/api.html

/api/generate 用于生成文本或内容。通常用于基于给定的输入生成响应或输出，例如生成对话回复、文章等。
/api/chat 专门用于聊天交互。用户可以通过此端点与模型进行对话，模型会根据输入生成相应的回复。
/api/create 用于创建新的模型或资源。可能涉及初始化一个新的模型实例或配置。
/api/ps(或者tags) 用于管理或查看模型的标签。标签可以帮助用户对模型进行分类或标记，便于管理和查找。
/api/show 用于显示模型或资源的详细信息。用户可以获取模型的配置、状态或其他相关信息。
/api/copy  用于复制模型或资源。用户可以通过此端点创建一个现有模型的副本。
/api/delete 用于删除模型或资源。用户可以通过此端点移除不再需要的模型或数据。
/api/pull 用于从 Ollama 下载模型。用户可以通过此端点将模型从远程服务器拉取到本地环境中。
/api/push 用于将模型上传到 Ollama。用户可以通过此端点将本地模型推送到远程服务器。
/api/embeddings 用于生成文本的嵌入向量。嵌入向量是文本的数值表示，通常用于机器学习任务中的特征提取。
/api/version 用于获取 Ollama 的版本信息。用户可以通过此端点查询当前使用的 Ollama 版本。

漏洞利用

在未授权情况，可以通过访问/api/ps（使用GET请求即可） 获取目前搭建的所有模型信息。

1035X775/image.png

通过返回信息可以看到采用的是deepseek-r1模型，通过刚才我们知道的接口端点信息，我们可以调用/api/chat（使用POST请求）来完成聊天请求，消耗资源。

1825X819/image.png

通过引导deepseek回答问题的过程中也能造成一些信息的泄露

所以在未授权的情况下，其他的接口都是可以用的，危害极大，可以通过调用那些危险接口进行操作，可对模型进行创建或删除的操作

0x05 漏洞影响

通过以上过程，我们可以看到该漏洞危害极大，且该漏洞利用难度也极低，可以通过未授权对大模型进行操作

0x06 修复建议

  1. 限制公网访问：尽量避免直接将 Ollama 服务端口（默认 11434）暴露在公网。  

  2. 配置网络访问控制：通过云安全组、防火墙等手段限制对 Ollama 服务端口的访问来源。仅允许可信的源 IP 地址连接 11434 端口，阻止非授权 IP 的访问请求。 

0X07 参考链接

https://github.com/ollama/ollama/blob/main/docs/faq.md

0x08 免责声明

本文所涉及的任何技术、信息或工具，仅供学习和参考之用。

请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。

作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

LibreChat MCP Stdio CVE-2026-22252远程代码执行漏洞分析 漏洞描述 LibreChat 是一个具有附加功能的 ChatGPT 克隆产品。在 v0.8.2-rc2 版本之前，LibreChat 的 MCP stdio 传输接受任意命令，而无需进行验证。这使得任何经过身份验证的用户都可以通过单个 API 请求在容器内部以 root 权限执行 shell 命令。这一漏洞已在 v0.8.2-rc2 版本中修复。

也是给到了 9.1 的评分 环境搭建

下载源码，docker 拉取就好啦 漏洞复现 其实现在很多 AI 类的应用都有这种漏洞，算是一种应用配置 MCP 的通杀吧，最近腾讯的一个 AI 应用也是这样的洞，如果能找个别的组件，应该也能够这样 注册用户 ​

POST /api/auth/register HTTP/1.1
Host: localhost:3080
Sec-Fetch-Dest: document
sec-ch-ua: "Not(A:Brand";v="99", "Google Chrome";v="133", "Chromium";v="133"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "macOS"
Upgrade-Insecure-Requests: 1
Sec-Fetch-Mode: navigate
Accept-Language: zh-CN,zh;q=0.9
Accept-Encoding: gzip, deflate, br, zstd
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
Sec-Fetch-User: ?1
Sec-Fetch-Site: none
Content-Type: application/json
Content-Length: 139

{
"name": "Test User",
"email": "test@example.local",
"password": "Password123!",
"confirm_password": "Password123!",
"username": "testuser"
}

回显是正常的，然后我们去登录

得到 Token 后，我们就有权限创建 MCP 了吧

回显显示失败，不过无所谓，因为命令已经执行了

一键利用脚本

注册 429 是因为我注册太多次了 漏洞分析 数据流分析

代码分析 入口点: 权限配置 文件: packages/data-provider/src/permissions.ts

● MCP 服务器创建权限 (CREATE) 默认对所有用户启用 ●任何注册用户都可以创建 MCP 服务器 所以危害很大，因为开启了注册，然后低权限的用户也能够 RCE，不过从业务角度来讲吧，确实 MCP 就是给用户使用的，所以开启了也合理 所以更重要的是对参数的处理 API Schema: 无输入验证 文件: packages/data-provider/src/mcp.ts

● command 字段接受任意字符串，根本就没有做任何的验证 ● args 字段接受任意字符串数组 文件: packages/api/src/mcp/connection.ts

很明显，这里传的时候也没有任何检查 命令在检查时执行 文件: packages/api/src/mcp/registry/MCPServerInspector.ts

inspectServer() 方法在 MCP 服务器创建时被调用，然后接着，MCPConnectionFactory.create() 创建连接，触发命令执行，而且即使后续连接失败，命令已经执行，这也是我们为什么只需要传入正确的命令执行参数，即使回显

但是也能够成功执行命令的原因 文件: packages/api/src/mcp/registry/MCPServersRegistry.ts

在保存配置之前调用 inspect()，而且命令在检查期间执行，发生在任何错误之前 漏洞修复 在 Schema 层面禁止用户通过 API 创建 stdio 类型 MCP 服务器

参考资料 ● GitHub Advisory: GHSA-cxhj-j78r-p88f ● LibreChat Repository: https://github.com/danny-avila/LibreChat ● MCP Specification: https://modelcontextprotocol.io/ 免责声明 本漏洞分析报告仅用于安全研究和教育目的。请勿将此信息用于未经授权的系统测试。负责任地披露安全漏洞有助于保护用户和改进软件安全性。

​

0x01 组件简介

近期由于Deepseek爆火，大部分企业和个人都开始部署AI。Ollama是一个本地私有化部署大语言模型（LLM，如DeepSeek等）的运行环境和平台，简化了大语言模型在本地的部署、运行和管理过程,具有简化部署、轻量级可扩展、API支持、跨平台等特点，在AI领域得到了较为广泛的应用。

fofa语法：app="Ollama"

0x02 漏洞描述

近日，Ollama存在安全漏洞，该漏洞源于默认未设置身份验证和访问控制功能，未经授权的攻击者可在远程条件下调用Ollama服务接口，执行包括但不限于敏感模型资产窃取、虚假信息投喂、模型计算资源滥用和拒绝服务、系统配置篡改和扩大利用等恶意操作。

0x03 影响版本

Ollama所有版本均受此漏洞影响。

0x04 漏洞验证

随机找一个靶机看看
出现Ollama is running，即证明存在未授权访问的漏洞

574X249/image.png

漏洞验证

通过查看Ollama api文档，Ollama提供了多个API 端点，用于执行不同的操作

详细情况查看：https://ollama.cadn.net.cn/api.html

/api/generate 用于生成文本或内容。通常用于基于给定的输入生成响应或输出，例如生成对话回复、文章等。
/api/chat 专门用于聊天交互。用户可以通过此端点与模型进行对话，模型会根据输入生成相应的回复。
/api/create 用于创建新的模型或资源。可能涉及初始化一个新的模型实例或配置。
/api/ps(或者tags) 用于管理或查看模型的标签。标签可以帮助用户对模型进行分类或标记，便于管理和查找。
/api/show 用于显示模型或资源的详细信息。用户可以获取模型的配置、状态或其他相关信息。
/api/copy  用于复制模型或资源。用户可以通过此端点创建一个现有模型的副本。
/api/delete 用于删除模型或资源。用户可以通过此端点移除不再需要的模型或数据。
/api/pull 用于从 Ollama 下载模型。用户可以通过此端点将模型从远程服务器拉取到本地环境中。
/api/push 用于将模型上传到 Ollama。用户可以通过此端点将本地模型推送到远程服务器。
/api/embeddings 用于生成文本的嵌入向量。嵌入向量是文本的数值表示，通常用于机器学习任务中的特征提取。
/api/version 用于获取 Ollama 的版本信息。用户可以通过此端点查询当前使用的 Ollama 版本。

漏洞利用

在未授权情况，可以通过访问/api/ps（使用GET请求即可） 获取目前搭建的所有模型信息。

1035X775/image.png

通过返回信息可以看到采用的是deepseek-r1模型，通过刚才我们知道的接口端点信息，我们可以调用/api/chat（使用POST请求）来完成聊天请求，消耗资源。

1825X819/image.png

通过引导deepseek回答问题的过程中也能造成一些信息的泄露

所以在未授权的情况下，其他的接口都是可以用的，危害极大，可以通过调用那些危险接口进行操作，可对模型进行创建或删除的操作

0x05 漏洞影响

通过以上过程，我们可以看到该漏洞危害极大，且该漏洞利用难度也极低，可以通过未授权对大模型进行操作

0x06 修复建议

  1. 限制公网访问：尽量避免直接将 Ollama 服务端口（默认 11434）暴露在公网。  

  2. 配置网络访问控制：通过云安全组、防火墙等手段限制对 Ollama 服务端口的访问来源。仅允许可信的源 IP 地址连接 11434 端口，阻止非授权 IP 的访问请求。 

0X07 参考链接

https://github.com/ollama/ollama/blob/main/docs/faq.md

0x08 免责声明

本文所涉及的任何技术、信息或工具，仅供学习和参考之用。

请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。

作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。