OpenClaw < 2026.3.11 - POSIXパス正規化によるExec Allowlistパターンオーバーマッチ

OpenClawのCVE-2026-32973脆弱性は、CVSSスコア9.8という重大なリスクをもたらします。これは、matchesExecAllowlistPattern関数における不備が原因で、実行許可リスト（exec allowlist）を迂回させます。具体的には、この関数は小文字に変換し、POSIXパスに対して過剰に一致するようなグローバールマッチングを使用します。攻撃者は、'?'ワイルドカードを利用して、パスセグメントを予期しない方法で一致させることができます。これにより、意図されていないコマンドの実行やファイルへのアクセスが可能になり、システムのセキュリティが損なわれます。この問題の重大性は、容易な悪用と、システム機密性、完全性、可用性への潜在的な影響にあります。

Organizations deploying OpenClaw for any purpose, particularly those using it in environments with untrusted input or where command execution is a core functionality, are at risk. This includes users relying on OpenClaw for data processing, scripting, or automation tasks where user-provided data influences command execution paths.

• python / server:

import os
import subprocess

def check_claw_version():
    try:
        result = subprocess.run(['openclaw', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version and float(version.split('.')[2]) < 11:
            print(f"OpenClaw version is vulnerable: {version}")
        else:
            print(f"OpenClaw version is patched: {version}")
    except FileNotFoundError:
        print("OpenClaw not found.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking version: {e}")

check_claw_version()

• generic web: Examine OpenClaw logs for unusual command execution attempts, especially those containing wildcard characters or unexpected path segments.

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-29
3. 更新日2026-03-30
4. EPSS 更新日2026-04-06

CVE-2026-32973を軽減するための解決策は、OpenClawをバージョン2026.3.11以降に更新することです。このバージョンでは、matchesExecAllowlistPatternが一致パターンを処理する方法が修正され、パスの過剰一致を防ぎます。更新を適用する際には、必要なユーザーとプロセスに実行権限を制限し、システムを不審な活動がないか監視するなど、追加のセキュリティ対策を実装することをお勧めします。潜在的な攻撃からOpenClawシステムを保護するために、この更新プログラムをできるだけ早く適用することが重要です。更新を怠ると、システムは悪用に対して脆弱になります。