al ejecutarlo dentro de WSL2 o un contenedor.

La API en el puerto 11434 no tiene autenticación y confía en dos capas de middleware para bloquear las solicitudes originadas en el navegador. Cuando la dirección de vinculación no es loopback, la comprobación de la cabecera Host se omite por completo. La capa de Intercambio de Recursos de Origen Cruzado (CORS) entonces trata la solicitud como si fuera del mismo origen y la permite, porque las cabeceras Origin y Host llevan el propio dominio del atacante. Esto se aplica a una página que el atacante sirve en el puerto 11434.

El rebinding del Sistema de Nombres de Dominio (DNS) cierra la brecha, haciendo que el dominio del atacante se resuelva primero a su propio servidor y luego a 127.0.0.1, mientras el navegador sigue tratando las solicitudes como si fueran del mismo origen.

El informe no especifica con qué navegadores o sistemas operativos se verificó la cadena. Verificar las cabeceras Host y Origin es la solución estándar para este tipo de ataque.

El rebinding de DNS contra la API de Ollama ya está documentado. Ollama lanzó un parche en la v0.1.29 el 14 de marzo de 2024, y NCC Group publicó el aviso como CVE-2024-28224 al mes siguiente. Dicho aviso recomendaba validar la cabecera Host en el lado del servidor para permitir solo un conjunto de valores autorizados.

Con la API accesible, la carga útil del informe escribe una plantilla de Go modificada a través de /api/create. La plantilla controla cómo se renderiza la matriz de mensajes estructurados en texto plano antes de que el modelo lo procese, y la versión envenenada añade texto controlado por el atacante a cada mensaje del sistema en el momento de la inferencia.

Las instrucciones plantadas de esta manera persisten en conversaciones posteriores y sobreviven incluso si el agente proporciona su propio prompt del sistema, según el informe.

"El cliente no puede detectar ni prevenir esto: la plantilla es una propiedad a nivel de modelo invisible para los consumidores de la API", señaló Oasis Security.

The Hacker News revisó el repositorio de NemoClaw el 25 de agosto y encontró que el proxy local de Ollama se niega a iniciar si el backend no está vinculado al loopback, un valor predeterminado introducido en la v0.0.106 el 10 de agosto. El proxy finaliza con un código de estado dedicado y muestra:

"Refusing to start: an Ollama daemon reachable on a non-loopback interface bypasses the proxy's token check entirely. Set OLLAMA_HOST=127.0.0.1:${port} on the Ollama systemd unit or set NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1 to override (not recommended)."

Esa comprobación puede desactivarse configurando NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1, y no falla en hosts donde la comprobación de vinculación no puede ejecutarse.

La comprobación también se ejecuta dentro del propio proxy. NemoClaw no inicia ese proxy en las rutas de WSL, y la configuración de host de Windows es una de ellas. Por lo tanto, el valor predeterminado de la v0.0.106 no llega a la ruta de plataforma donde se establece la vinculación 0.0.0.0.

La misma revisión no encontró ninguna comprobación de integridad de la plantilla de chat en ninguna parte del repositorio.

La documentación de NVIDIA instruye a los operadores en la ruta de host de Windows a no exponer el puerto 11434 a una LAN o a Internet. Esa guía aborda el acceso entrante desde la red. La cadena de rebinding no lo necesita, ya que el navegador que realiza las solicitudes ya se está ejecutando en el host y alcanza el demonio en 127.0.0.1.

El envenenamiento de la plantilla de chat de un modelo para que se ejecuten instrucciones durante la inferencia ha sido documentado previamente. Los investigadores de Oasis Security documentaron la misma técnica contra Paperclip a principios de este mes, y utilizaron una ruta comparable de navegador a localhost para secuestrar agentes locales de OpenClaw en febrero.


Fuente:
THN