OpenClawの脆弱性 (CVE-2026-32987): ブートストラップリプレイ

OpenClawのCVE-2026-32987は、CVSSスコア9.8で、src/infra/device-bootstrap.tsにおけるデバイスペアリング検証中に、bootstrap設定コードをリプレイすることを許可します。攻撃者は承認前に有効なbootstrapコードを複数回検証し、pendingペアリングスコープをエスカレートさせ、operator.adminへの特権昇格を実行する可能性があります。これはOpenClawシステムのセキュリティにとって重大なリスクであり、攻撃者がデバイスと構成を制御する可能性があります。

Organizations heavily reliant on OpenClaw for critical infrastructure or sensitive data are at the highest risk. Specifically, deployments with weak device pairing policies or those using shared hosting environments where multiple users share resources are particularly vulnerable. Any environment where operator.admin privileges are required for critical operations is at risk.

• nodejs: Use npm audit to check for vulnerabilities in OpenClaw dependencies.

npm audit opencrawler

• nodejs: Monitor OpenClaw logs for repeated attempts to verify bootstrap codes from the same source IP address.

journalctl -u opencrawler -f | grep "bootstrap code verification failed"

• generic web: Monitor access logs for requests related to device pairing endpoints, looking for unusual patterns or repeated requests. • generic web: Examine OpenClaw configuration files for any insecure settings related to bootstrap code verification.

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-29
3. 更新日2026-03-30
4. EPSS 更新日2026-04-06

この脆弱性の修正は、OpenClawをバージョン2026.3.13以降にアップグレードすることです。このバージョンには、bootstrapコードのリプレイを防止する修正が含まれています。攻撃のリスクを軽減するために、できるだけ早くこのアップデートを適用することを強くお勧めします。アップデート前に、デバイスペアリングに関連する疑わしいアクティビティがないか監査ログを確認してください。bootstrapキーローテーションポリシーを実装することで、セキュリティ体制をさらに強化できます。