openclaw 脆弱性: 非管理者権限でoperator.adminを自己宣言 (CVE-2026-3269)

PSI Probeのバージョン5.3.0以前に、サービス拒否（DoS）の脆弱性（CVE-2026-3269）が特定されました。この脆弱性は、ファイルpsi-probe-core/src/main/java/psiprobe/controllers/sessions/ExpireSessionsController.javaの関数handleRequestInternal、特に「Session Handler」コンポーネント内に存在します。攻撃者は、操作されたリクエストを送信することで、この脆弱性を悪用し、PSI Probeをアクセス不能にしたり、誤動作させたりする可能性があります。エクスプロイトが公開されていることは、攻撃のリスクを大幅に高めます。この脆弱性に関する初期の通知に対するベンダーの応答がないことは懸念されるため、システムを最新の状態に保ち、監視することの重要性が強調されます。

Organizations relying on psi-probe PSI Probe for system monitoring and diagnostics are at risk, particularly those using versions 5.3.0 or earlier. Environments with exposed psi-probe instances are especially vulnerable. Those who have not implemented robust input validation or rate limiting on their psi-probe deployments are also at increased risk.

• java / server:

ps -ef | grep psi-probe

• java / server:

journalctl -u psi-probe | grep -i error

• generic web:

curl -I <psi_probe_url>

• generic web:

 grep -r "handleRequestInternal" /opt/psi-probe/psi-probe-core/src/main/java/psiprobe/controllers/sessions/ExpireSessionsController.java

1. 2026-02-27Disclosure

   disclosure

1. 予約済み2026-02-26
2. 公開日2026-02-27
3. 更新日2026-03-04
4. EPSS 更新日2026-03-23

現時点では、PSI Probeベンダーから公式な修正（fix）は提供されていません。最も効果的な軽減策は、PSI Probeの新しいバージョンが利用可能になったらアップグレードすることです。その間は、悪用のリスクを軽減するために、追加のセキュリティ対策を実装することをお勧めします。これには、PSI Probeへのアクセスを承認されたユーザーのみに制限すること、悪意のあるトラフィックをフィルタリングするためのファイアウォールを実装すること、システムログを継続的に監視して疑わしいアクティビティを検出することが含まれます。ベンダーからの応答がないことは、これらの対策を適用することをさらに重要にします。