OpenClaw < 2026.3.28 - node.pair.approve における不十分なスコープ検証

OpenClawのCVE-2026-33577は、権限の低いオペレーターが、より広範なスコープで保留中のノードリクエストを承認することを可能にし、ペアリングされたノードで権限昇格につながる可能性があります。具体的には、ノードペアリング承認パスは、承認者がノードが要求するすべてのスコープをすでに保持しているかどうかを一貫して検証しませんでした。つまり、権限の少ないユーザーが、通常は持たないリソースや機能へのアクセスを許可するリクエストを承認する可能性があります。

Organizations deploying OpenClaw in production environments, particularly those with complex node pairing configurations or a large number of users with varying access privileges, are at significant risk. Shared hosting environments where multiple users share the same OpenClaw instance are also particularly vulnerable, as a compromised user could potentially escalate their privileges across the entire platform.

• nodejs / server:

  journalctl -u openclaw | grep -i "node pairing approval"

• nodejs / server:

  ps aux | grep openclaw | grep -i "node pairing"

• generic web: Review OpenClaw access logs for unusual approval patterns or requests for excessively broad scopes. Look for approvals originating from unexpected user accounts or IP addresses.

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-04-01
3. 更新日2026-04-06
4. EPSS 更新日2026-04-08

この脆弱性を軽減するには、OpenClawをバージョン2026.3.28以降にアップグレードしてください。このバージョンには、承認者が接続を許可する前に、承認者が必要なスコープを正しく検証するようにする修正が含まれています。潜在的な攻撃からシステムを保護するために、できるだけ早くこのアップデートを適用することが重要です。さらに、ユーザーアクセスポリシーと権限をレビューして、最小権限の原則が遵守されていることを確認してください。