openclaw 脆弱性: 非管理者権限でoperator.adminを自己申告 (CVE-2026-3268)

PSI Probeのバージョン5.3.0までの脆弱性（CVE-2026-3268）が検出されました。この脆弱性は、psi-probe-core/src/main/java/psiprobe/controllers/sessions/RemoveSessAttributeController.javaファイル内の不明な関数、および'Session Attribute Handler'コンポーネントに影響を与えます。リモートの攻撃者は、この欠陥を利用してアクセス制御をバイパスし、機密情報や機能への不正アクセスを試みる可能性があります。この脆弱性の深刻度は、CVSSスコアリングシステムによると5.4と評価されています。エクスプロイトの公開によりリスクが大幅に高まり、深い技術的専門知識を必要とせずに悪意のある攻撃者が脆弱性を悪用できるようになります。この脆弱性に関する初期の開示試行に対するベンダーの対応の欠如は懸念事項であり、更新され監視されているシステムを維持することの重要性を強調しています。

1. 予約済み2026-02-26
2. 公開日2026-02-26
3. 更新日2026-02-27
4. EPSS 更新日2026-03-23

ベンダーがCVE-2026-3268に対する修正プログラムを提供していないため、最も直接的かつ効果的な軽減策は、更新がリリースされるまでPSI Probeインスタンスを無効にするか削除することです。PSI Probeの機能が不可欠な場合は、厳格なアクセス制御を実装し、システムアクティビティを徹底的に監視してください。既存のセキュリティポリシーを見直し、強化して、不正アクセスが成功した場合の潜在的な影響を最小限に抑えます。ユーザーは、この脆弱性に関するベンダーからの将来の発表についても常に最新情報を入手する必要があります。ネットワークセグメンテーションとPSI Probeへのアクセス制限も、リスクを軽減するのに役立ちます。