OpenClawにおいて、Feishuメディアの一時ファイル名におけるパストラバーサル脆弱性が存在し、os.tmpdir()外への書き込みを可能にする

この脆弱性は、攻撃者がFeishuメディアキーの値を制御できる場合、OpenClawプロセスが持つファイル権限内で任意のファイルを書き込むことを可能にします。例えば、攻撃者が中間者攻撃によって悪意のあるメディアキーを挿入し、一時ファイルがシステム上の機密ファイルに書き込まれるように仕向ける可能性があります。これにより、機密情報の漏洩、システムの改ざん、さらにはリモートコード実行につながる可能性があります。この脆弱性は、類似のファイル書き込み脆弱性と同様に、システム全体のセキュリティを脅かす重大なリスクとなります。

Organizations using OpenClaw for collaborative knowledge management, particularly those integrated with Feishu for media sharing, are at risk. Shared hosting environments where OpenClaw is deployed alongside other applications may also be vulnerable if the attacker can compromise another application and leverage it to manipulate Feishu media keys.

• nodejs: Monitor OpenClaw logs for requests containing unusual characters in the imageKey or fileKey parameters. Use grep to search for patterns like ../ or ..\ in request URLs.

grep 'imageKey=.*\.\./' /var/log/openclaw/access.log
grep 'fileKey=.*\.\./' /var/log/openclaw/access.log

• generic web: Examine access logs for requests to the media download endpoint with suspicious query parameters. Use curl to test the endpoint with crafted parameters.

curl 'https://your-openclaw-instance/download?imageKey=../../../../etc/passwd' -s

1. 2026-03-03Disclosure

   disclosure

2. 2026-03-03Patch

   patch

1. 予約済み2026-01-06
2. 公開日2026-03-03
3. 更新日2026-03-19
4. EPSS 更新日2026-03-25

OpenClawのバージョンを2026.2.19以降にアップグレードすることが、この脆弱性に対する最も効果的な対策です。アップグレードがシステムに影響を与える場合は、一時的な回避策として、Feishuメディアキーの検証を実装し、許可されたディレクトリへの書き込みのみを許可するように制限することを検討してください。また、WAFやプロキシサーバーを使用して、悪意のあるメディアキーの送信をブロックすることも有効です。OpenClawのログを監視し、異常なファイル書き込みの試行を検出することも重要です。アップグレード後、ファイル書き込み権限が適切に制限されていることを確認してください。