OpenClawの脆弱性 (CVE-2026-32975): 認証バイパス

CVE-2026-32975 は、2026.3.12 より前のバージョンの OpenClaw に影響します。この脆弱性は、Zalouser の許可リストモードにおける弱い認証メカニズムに起因し、攻撃者がチャネル認証を回避することを可能にします。問題は、システムが安定したグループ識別子ではなく、変更可能なグループ表示名と一致させている点にあります。これにより、攻撃者は許可リストに登録されているグループと同じ名前のグループを作成し、意図しないグループからのメッセージをエージェントにルーティングするようにシステムを欺くことができます。この脆弱性の CVSS スコアは 9.8 で、重大なリスクを示しています。

Organizations utilizing OpenClaw, particularly those relying on the 'Zalouser allowlist mode' for channel authorization, are at risk. This includes deployments handling sensitive data or controlling critical infrastructure, as the bypass could lead to unauthorized access and potential compromise.

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-29
3. 更新日2026-03-30
4. EPSS 更新日2026-04-06

この脆弱性に対する解決策は、OpenClaw を 2026.3.12 以降のバージョンに更新することです。この更新により、認証にはグループ識別子をグループ名ではなく使用するようにシステムが変更されます。この更新を可能な限り早く適用して、不正アクセスや潜在的な攻撃のリスクを軽減することを強くお勧めします。さらに、Zalouser の許可リスト構成を確認して、重複または潜在的に混乱を招くグループ名がないことを確認してください。更新後に OpenClaw のログを監視して、脆弱性が修正されたことを確認してください。