OpenClaw 2026.3.28 より前のバージョン - falプロバイダーにおける保護されていない画像ダウンロードによるサーバーサイドリクエストフォージェリ

OpenClawのCVE-2026-34504は、'fal'プロバイダーに影響を与え、侵害されたリレーが内部URLへの生のフェッチを実行できるようにします。以前は、'fal'プロバイダーは、プロバイダーAPIトラフィックと返されたイメージダウンロードURLの両方に対してSSRF（サーバーサイドリクエスト偽造）ガードされていないフェッチパスを使用していました。つまり、攻撃者は'fal'リレーを操作して内部リソースをフェッチし、イメージパイプラインを通じて機密のメタデータまたは内部サービスの応答を潜在的に公開する可能性があります。この脆弱性は、機密情報のアクセスまたはインフラストラクチャ内での不正なアクションの実行に悪用される可能性があります。

Organizations utilizing OpenClaw for image generation and processing are at risk, particularly those with complex internal network architectures or those who have not implemented robust network segmentation. Environments where the fal relay has broad access to internal services are at higher risk. Shared hosting environments using OpenClaw should be especially vigilant.

• nodejs / server:

  journalctl -u openclaw | grep -i "fal provider" -i "image fetch"

• generic web:

  curl -I <openclaw_endpoint> | grep -i "X-Powered-By"

• generic web:

  grep -r "fal: guard image fetches" /path/to/openclaw/source/code

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. 更新日2026-04-06
4. EPSS 更新日2026-04-08

この脆弱性を軽減するには、OpenClawをバージョン2026.3.28以降に更新することをお勧めします。このバージョンは、'fal'プロバイダーに関連するすべてのリクエストに対してSSRFガードされたフェッチパスを実装することにより、問題を修正します。さらに、'fal'リレーの構成を確認して、必要なリソースにのみアクセスでき、内部ネットワークから適切に分離されていることを確認します。疑わしいパターンを監視してネットワークトラフィックを監視することで、潜在的な攻撃を検出および防止するのに役立ちます。更新が最も効果的で推奨される解決策です。