OpenClaw 2.0.0-beta3 < 2026.2.14 - フック変換パストラバーサルによる任意のJavaScriptモジュール読み込み

この脆弱性は、攻撃者がOpenClawの設定ファイルを改ざんし、悪意のあるJavaScriptモジュールをロードすることで、システム上で任意のコードを実行することを可能にします。攻撃者は、gateway processの権限を悪用し、機密情報の窃取、システムの改ざん、さらには完全な制御の奪取といった深刻な被害をもたらす可能性があります。この脆弱性は、OpenClawのセキュリティを根底から揺るがす重大な脅威であり、迅速な対応が求められます。類似の脆弱性は、設定ファイルの不適切な検証により発生することが多く、他のアプリケーションでも同様の脆弱性が存在する可能性があります。

Organizations and individuals using OpenClaw, particularly those with publicly accessible instances or those who allow external users to modify configuration files, are at risk. Environments where OpenClaw is integrated with other systems or services are also at increased risk due to the potential for lateral movement.

• javascript: Examine OpenClaw configuration files for suspicious entries in the hooks.mappings[].transform.module parameter, particularly those containing absolute paths or traversal sequences (e.g., ../). • javascript: Monitor OpenClaw logs for errors or warnings related to module loading failures, which could indicate an attempted exploitation. • javascript: Use a debugger to step through the hook transform module loading process and identify any unexpected file access patterns.

1. 2026-03-05Disclosure

   disclosure

1. 予約済み2026-02-27
2. 公開日2026-03-05
3. 更新日2026-03-11
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、OpenClawをバージョン2026.2.14以降にアップデートすることです。アップデートが困難な場合は、設定ファイルのアクセス権を厳格に制限し、信頼できるソースからのモジュールのみをロードするように構成してください。また、WAF（Web Application Firewall）を導入し、Path Traversal攻撃を検知・防御することも有効です。攻撃者の侵入を早期に検知するために、ログ監視を強化し、異常なファイルアクセスやJavaScriptコードの実行を監視してください。