OpenClaw < 2026.3.12 - 事前認証シークレット検証による Webhook レート制限のバイパス

OpenClaw の CVE-2026-34505 は、Zalo Webhook ハンドラーに影響を与えます。システムは、Webhook 認証が成功した 後 にリクエストのレート制限を適用しました。これにより、無効なシークレットを持つリクエストは 401 エラーを受け取りますが、レート制限にはカウントされません。攻撃者はしたがって、429 制限に達することなく、シークレットを繰り返し推測することができます。シークレットが正しく推測されると、攻撃者は偽の Zalo Webhook トラフィックを送信できます。

Applications utilizing openclaw for Zalo webhook integration, particularly those with weak or easily guessable webhook secrets, are at risk. Shared hosting environments where multiple applications share the same webhook endpoint are also potentially vulnerable, as an attacker could target a single vulnerable application to gain access to others.

• nodejs: Use npm audit to check for vulnerable versions of openclaw. Monitor application logs for repeated 401 errors from webhook requests, which could indicate a brute-force attempt.

npm audit openclaw

• generic web: Monitor access logs for a high volume of requests to the Zalo webhook endpoint with 401 status codes. Implement rate limiting on the webhook endpoint to detect and block suspicious activity.

1. 2026-03-13Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-03-13
3. 更新日2026-04-06
4. EPSS 更新日2026-04-07

CVE-2026-34505 の軽減策は、OpenClaw をバージョン 2026.3.12 以降に更新することです。このバージョンでは、Webhook 認証の 前 にレート制限が実装され、攻撃者がシークレットを推測する試行回数を過剰にすることを防ぎます。このセキュリティリスクから身を守るために、更新することを強くお勧めします。さらに、ブルートフォース攻撃をさらに困難にするために、堅牢で複雑な Webhook シークレットを使用することをお勧めします。