OpenClaw tiene un crecimiento de memoria ilimitado en el webhook de Zalo a través de la rotación de claves en la cadena de consulta (DoS no autenticado)

Un atacante puede explotar esta vulnerabilidad enviando solicitudes cuidadosamente elaboradas al webhook de Zalo en openclaw. Al variar las cadenas de consulta en la misma ruta de webhook válida, el atacante puede forzar un crecimiento ilimitado de claves en la memoria del proceso. Esto, a su vez, puede agotar los recursos del sistema, provocando una degradación del rendimiento, inestabilidad del proceso e incluso una denegación de servicio. La severidad de este impacto depende de la criticidad del servicio que utiliza openclaw y la capacidad del sistema para manejar la presión de memoria. Aunque no permite la ejecución remota de código, la interrupción del servicio puede tener consecuencias significativas para la disponibilidad y la continuidad del negocio.

Organizations utilizing openclaw in their Node.js applications, particularly those exposing Zalo webhook endpoints to the internet, are at risk. Shared hosting environments where multiple users share the same openclaw instance are also at increased risk, as an attacker could potentially exploit the vulnerability through another user's webhook integration.

• nodejs: Monitor openclaw process memory usage. High and rapidly increasing memory consumption could indicate exploitation.

ps aux | grep openclaw | awk '{print $6}' | sort -n | tail -1

• generic web: Monitor web server access logs for unusual patterns of requests to the Zalo webhook endpoint, particularly those with a large number of unique query parameters.

grep "/zalo_webhook" /var/log/apache2/access.log | awk '{print $7}' | sort | uniq -c | sort -nr | head -10

1. 2026-03-02Disclosure

   disclosure

1. Reservado2026-02-27
2. Publicada2026-03-02
3. Modificada2026-04-02
4. EPSS actualizado2026-03-26

La solución principal es actualizar openclaw a la versión 2026.3.1 o posterior, que incluye una corrección para normalizar las claves a la semántica de la ruta del webhook (excluyendo la consulta) y limitar/podar el estado de seguimiento para evitar el crecimiento ilimitado. Si la actualización inmediata no es posible, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la configuración de un firewall de aplicaciones web (WAF) para bloquear solicitudes con patrones de consulta sospechosos o la implementación de reglas de proxy para limitar el número de solicitudes que se pueden enviar al webhook desde una sola dirección IP. Monitorear el uso de memoria del proceso openclaw es crucial para detectar posibles ataques en curso. Después de la actualización, confirme la mitigación verificando que las claves en memoria no crezcan indefinidamente al enviar solicitudes de prueba al webhook.