CVE-2026-32973 OpenClaw: Contournement exec allowlist (0–2026.3.11)

La vulnérabilité CVE-2026-32973 dans OpenClaw, avec un score CVSS de 9.8, représente un risque critique. Elle est due à un défaut dans la fonction matchesExecAllowlistPattern qui ne normalise pas correctement les modèles, entraînant un contournement de la liste d'autorisation d'exécution (exec allowlist). Plus précisément, la fonction convertit en minuscules et utilise la correspondance de caractères génériques (glob matching) d'une manière qui entraîne une correspondance excessive sur les chemins POSIX. Les attaquants peuvent exploiter cela en utilisant le caractère générique '?' pour faire correspondre des segments de chemin de manière inattendue. Cela permet d'exécuter des commandes ou d'accéder à des fichiers qui ne sont pas censés être accessibles, compromettant la sécurité du système. La gravité du problème réside dans la facilité d'exploitation et l'impact potentiel sur la confidentialité, l'intégrité et la disponibilité du système.

Organizations deploying OpenClaw for any purpose, particularly those using it in environments with untrusted input or where command execution is a core functionality, are at risk. This includes users relying on OpenClaw for data processing, scripting, or automation tasks where user-provided data influences command execution paths.

• python / server:

import os
import subprocess

def check_claw_version():
    try:
        result = subprocess.run(['openclaw', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version and float(version.split('.')[2]) < 11:
            print(f"OpenClaw version is vulnerable: {version}")
        else:
            print(f"OpenClaw version is patched: {version}")
    except FileNotFoundError:
        print("OpenClaw not found.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking version: {e}")

check_claw_version()

• generic web: Examine OpenClaw logs for unusual command execution attempts, especially those containing wildcard characters or unexpected path segments.

1. 2026-03-29Disclosure

   disclosure

1. Réservé2026-03-17
2. Publiée2026-03-29
3. Modifiée2026-03-30
4. EPSS mis à jour2026-04-06

La solution pour atténuer CVE-2026-32973 consiste à mettre à jour OpenClaw vers la version 2026.3.11 ou ultérieure. Cette version corrige la façon dont matchesExecAllowlistPattern gère les modèles de correspondance, empêchant la correspondance excessive des chemins. Pendant l'application de la mise à jour, il est recommandé de mettre en œuvre des mesures de sécurité supplémentaires, telles que la restriction des autorisations d'exécution aux utilisateurs et processus nécessaires, et la surveillance du système à la recherche d'activités suspectes. Appliquer cette mise à jour rapidement est essentiel pour protéger les systèmes OpenClaw contre les attaques potentielles. Le non-respect de la mise à jour laisse le système vulnérable à l'exploitation.