OpenClaw < 2026.3.11 - एजेंट RPC पैरामीटर के माध्यम से कार्यक्षेत्र सीमा बाईपास

OpenClaw में CVE-2026-33573 का CVSS स्कोर 8.8 है, जो उपयोगकर्ताओं के लिए एक महत्वपूर्ण जोखिम पैदा करता है। यह 'operator.write' अनुमतियों वाले प्रमाणित ऑपरेटरों को वर्कस्पेस सीमाओं को बायपास करने की अनुमति देता है। एक हमलावर गेटवे एजेंट में RPC कॉल में 'spawnedBy' और 'workspaceDir' मानों में हेरफेर करके, किसी भी प्रक्रिया-पहुंच योग्य निर्देशिका से मनमाना फ़ाइल और exec ऑपरेशन कर सकता है। इससे दुर्भावनापूर्ण कोड निष्पादन, संवेदनशील डेटा की चोरी, या सिस्टम का पूर्ण समझौता हो सकता है। इस भेद्यता की गंभीरता इस तथ्य में निहित है कि सीमित विशेषाधिकार वाले एक ऑपरेटर आसानी से अपने विशेषाधिकारों को बढ़ा सकता है और OpenClaw वातावरण की सुरक्षा को खतरे में डाल सकता है।

Organizations utilizing OpenClaw for automated workflows, particularly those with loosely configured operator permissions or shared hosting environments, are at heightened risk. Legacy OpenClaw deployments and configurations that deviate from best practices are also vulnerable.

1. 2026-03-29Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-03-29
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-06

CVE-2026-33573 के लिए प्राथमिक शमन OpenClaw को संस्करण 2026.3.11 या बाद के संस्करण में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो प्राधिकरण बायपास भेद्यता को संबोधित करता है। इसके अतिरिक्त, 'operator.write' अनुमतियों को केवल विश्वसनीय उपयोगकर्ताओं को ही प्रदान किया जाए जिनकी एक उचित आवश्यकता है, यह सुनिश्चित करने के लिए एक्सेस नियंत्रण नीतियों की समीक्षा और मजबूत करना उचित है। संदिग्ध पैटर्न के लिए गेटवे एजेंट गतिविधि की निगरानी भी संभावित हमलों का पता लगाने और रोकने में मदद कर सकती है। फ़ायरवॉल और घुसपैठ का पता लगाने वाले सिस्टम सहित गहराई से रक्षा रणनीति को लागू करने से अतिरिक्त सुरक्षा परत प्रदान की जा सकती है।